Un socio de desarrollo en Armenia o Georgia en lugar de Polonia: qué cambia para una fintech de la UE con el RGPD, DORA y el contrato

Para una fintech de la UE, una empresa de desarrollo en Armenia o Georgia exige más trabajo en el contrato que una en Polonia. Si sus ingenieros pueden ver datos personales, el contrato necesita un instrumento de transferencia, como las cláusulas contractuales tipo, y la cláusula de resolución de disputas debe llevar a una decisión que se pueda ejecutar allí. Si DORA te aplica y el servicio da soporte a una función crítica o importante, tu evaluación de riesgos también debe preguntar por la protección de datos y la aplicación de la ley en ese país. Las comprobaciones técnicas, el control de sanciones, la propiedad del código y la mayoría de las cláusulas del contrato funcionan igual que en Polonia.

¿Qué cambia frente a una empresa en Polonia y qué sigue igual?

Polonia está en la UE, y Armenia y Georgia no. La mayor parte de la diferencia se deriva de eso:

• Datos: si un ingeniero de una empresa en Ereván o Tiflis puede ver los datos personales de tus clientes, ese acceso cuenta como una transferencia fuera de la UE. El acceso desde Varsovia, no
• DORA: en los servicios que sustentan funciones esenciales o importantes, un proveedor de fuera de la UE añade dos preguntas a tu evaluación de riesgos, sobre la protección de datos y sobre la aplicación efectiva de la ley en su país
• Disputas: una sentencia de un tribunal de otro país de la UE se reconoce en Polonia según las normas de la UE. En Armenia y Georgia, un laudo arbitral es más fácil de ejecutar que una sentencia judicial
• Registros: el Portal Europeo de e-Justicia busca en los registros mercantiles de Polonia y de otros países de la UE desde un único sitio. Las empresas armenias y georgianas figuran en sus propios registros nacionales, en parte en armenio o en georgiano

El resto no depende del país: conocer a los ingenieros que harán el trabajo, la cesión por escrito del código a tu empresa, los repositorios y las cuentas en la nube a nombre de tu empresa, el control de sanciones de la empresa y de sus propietarios, y la mayoría de las cláusulas contractuales que enumera DORA.

¿Cuántas horas de trabajo compartimos con un equipo en Ereván o Tiflis?

Armenia y Georgia se mantienen en UTC+4 todo el año, según la base de datos de zonas horarias de la IANA. Los países de la UE adelantan los relojes el último domingo de marzo y los atrasan el último domingo de octubre. Por eso Ereván y Tiflis van tres horas por delante de Fráncfort, París y Varsovia en invierno y dos en verano.

Con una jornada de 9 a 18 en ambos lados, un equipo en Ereván comparte con Fráncfort seis horas de oficina en invierno y siete en verano. Con Londres comparte cinco horas en invierno y seis en verano. Planifica la llamada diaria, las revisiones de código y los lanzamientos dentro de esa franja, y deja por escrito en el contrato las horas compartidas.

Antes de firmar, escucha en una videollamada a los ingenieros y a la persona que dirigirá el trabajo día a día usar el idioma de trabajo de tu equipo.

¿Es una transferencia de datos si los ingenieros solo se conectan desde Ereván?

Sí, si pueden ver datos personales. El Comité Europeo de Protección de Datos, que reúne a las autoridades de protección de datos de la UE, escribió en sus Directrices 05/2021 que «el acceso remoto desde un tercer país (aunque solo consista en mostrar datos personales en una pantalla, por ejemplo en situaciones de soporte, resolución de incidencias o con fines de administración)» también cuenta como transferencia cuando se cumplen los tres criterios de transferencia de las directrices. Se cumplen cuando los ingenieros trabajan para otra empresa, como tu socio de desarrollo.

La forma más sencilla de limitar la transferencia es mantener los datos personales fuera del alcance de los ingenieros: datos de prueba, copias enmascaradas y acceso a producción solo cuando haga falta y con registro. El artículo sobre externalizar el desarrollo de IA sin que tus datos salgan describe esa configuración.

Una decisión de adecuación permite que los datos personales fluyan a un país sin garantías adicionales. A 26 de octubre de 2026, la lista de esas decisiones de la Comisión Europea no incluye ni a Armenia ni a Georgia. Para ambos países, el instrumento habitual son las cláusulas contractuales tipo, un texto contractual ya redactado que la Comisión adoptó el 4 de junio de 2021.

Para una empresa de desarrollo que trabaja con tus datos siguiendo tus instrucciones, la parte de las cláusulas que se aplica es el módulo 2, para transferencias de un responsable a un encargado del tratamiento. Si tu fintech trata a su vez los datos por cuenta de clientes empresariales, se aplica en su lugar el módulo 3, para transferencias de un encargado a otro encargado. Las preguntas y respuestas de la Comisión sobre las cláusulas dicen que con el módulo 2 «no es necesario celebrar un contrato de encargo del tratamiento por separado», porque ya contiene las condiciones que exige el artículo 28 del RGPD. El texto de las cláusulas no se puede modificar, salvo para elegir los módulos y las opciones, completar los anexos y añadir garantías.

Antes de firmar, ambas partes deben evaluar si «la legislación y las prácticas del tercer país de destino» podrían impedir a la empresa cumplir las cláusulas. Las preguntas y respuestas también enumeran qué examinar, como las categorías y el formato de los datos y la longitud de la cadena de tratamiento.

Una fintech británica se rige por el RGPD del Reino Unido. Las normas británicas de adecuación cubren Polonia como parte del Espacio Económico Europeo y no cubren Armenia ni Georgia. Para las transferencias a estos países, la Information Commissioner's Office (ICO) menciona el International Data Transfer Agreement (IDTA) y el International Data Transfer Addendum, que se añade a las cláusulas de la UE, y exige además una evaluación del riesgo de la transferencia.

¿Qué pide DORA cuando el proveedor está fuera de la UE?

DORA, el Reglamento de Resiliencia Operativa Digital de la UE, es aplicable desde el 17 de enero de 2025. Abarca bancos, entidades de pago y de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, centros de negociación y otras entidades financieras. Sus normas se aplican a los servicios de TIC, el término del reglamento para los servicios tecnológicos. Que un contrato de desarrollo cuente como uno de ellos depende de lo que incluya, como soporte, mantenimiento o alojamiento tras el lanzamiento, así que pregunta primero a tu equipo de cumplimiento.

Si cuenta, sigues siendo «plenamente responsable» de tus obligaciones con arreglo a DORA, en palabras del artículo 28, e inscribes el contrato en tu registro de información, el registro de contratos de TIC que exige DORA. El artículo 30 enumera las cláusulas que necesita todo contrato de este tipo, entre ellas los países en los que se prestan los servicios y se tratan los datos, el aviso previo antes de que cambien esas ubicaciones y la devolución de tus datos si el proveedor quiebra o el contrato termina. Una empresa en Polonia también tiene que aceptar estas cláusulas.

La diferencia está en una parte de la evaluación de riesgos, la de los servicios que sustentan funciones esenciales o importantes, aquellas cuyo fallo perjudicaría gravemente a tu negocio o a tu cumplimiento normativo. Para cualquier proveedor de ese tipo, el artículo 29 pide tener en cuenta las normas de insolvencia aplicables y cualquier limitación a «la recuperación urgente de los datos de la entidad financiera». Para una empresa en Armenia o Georgia, son las normas armenias o georgianas. Para un proveedor «establecido en un tercer país», añade «el cumplimiento de las normas de la Unión en materia de protección de datos y la aplicación efectiva del Derecho en ese tercer país».

Pregunta a la empresa dónde trabajarán su personal y sus servidores con tu sistema, y cómo recuperas tu código y tus datos si la empresa deja de trabajar para ti. Pregunta a tus abogados si una resolución a tu favor se puede ejecutar allí. Los contratos de estos servicios también necesitan derechos de auditoría y acceso y una estrategia de salida con un período transitorio, esté donde esté el proveedor.

¿Se puede ejecutar un contrato con una empresa de Armenia o Georgia?

Sí, si planificas el camino antes de firmar. Una resolución contra la empresa tiene que ejecutarse donde están sus cuentas y sus bienes, que suele ser su propio país.

Un laudo arbitral es más fácil de ejecutar. Armenia, Georgia y Polonia son parte de la Convención de Nueva York de 1958, por la que los Estados contratantes reconocen y ejecutan los laudos arbitrales dictados en otros Estados contratantes. La tabla de situación de la CNUDMI muestra la Convención en vigor para Georgia desde 1994 y para Armenia desde 1998. Armenia la aplica solo a los laudos dictados en otro Estado contratante y a las controversias que su derecho considera mercantiles.

Las sentencias judiciales son más difíciles. Dentro de la UE, el Reglamento Bruselas I bis hace que una sentencia de un tribunal alemán o francés se reconozca en Polonia sin procedimiento especial. Además, a través de la UE, a Polonia la cubre el Convenio de La Haya de 2019 sobre sentencias, que se aplica al Reino Unido desde el 1 de julio de 2025. A 26 de octubre de 2026, ni Armenia ni Georgia son parte de ese convenio ni del Convenio de La Haya de 2005 sobre acuerdos de elección de foro, según las tablas de situación de la Conferencia de La Haya.

Así que, para una empresa en Armenia o Georgia, consulta con tu abogado una cláusula de arbitraje con sede, es decir, el domicilio jurídico del arbitraje, en un país parte de la Convención. Pregunta también cómo se trataría allí una sentencia de los tribunales de tu país. En las funciones esenciales o importantes, esa respuesta forma parte de lo que DORA te pide tener en cuenta.

¿Supone una empresa de Armenia o Georgia un riesgo de sanciones frente a una de Rusia o Bielorrusia?

No como país. A 26 de octubre de 2026, el EU Sanctions Map muestra regímenes de sanciones de la UE para Rusia y para Bielorrusia y ninguno para Armenia o Georgia. La lista de regímenes de sanciones del Reino Unido y la lista de programas de sanciones del Departamento del Tesoro de EE. UU. tampoco tienen ninguno para Armenia o Georgia.

Que un país no tenga régimen no deja limpia a ninguna empresa de ese país. Busca a la empresa, a cada propietario que figure en el registro, al director y al banco receptor en la lista consolidada de sanciones financieras de la UE y, si eres una empresa británica, también en la UK Sanctions List. En sus Buenas prácticas para la aplicación efectiva de medidas restrictivas, actualizadas el 3 de julio de 2024, el Consejo de la UE considera que una entidad es propiedad de una persona incluida en la lista a partir del «50 % o más de los derechos de propiedad». Pagar a esa entidad contará en principio como poner fondos a disposición de la persona incluida en la lista de forma indirecta.

Pregunta también desde dónde trabajará cada ingeniero de tu proyecto y, si alguien fuera a trabajar desde Rusia o Bielorrusia, pide la opinión de un abogado especializado en sanciones antes de firmar. El artículo sobre cómo elegir una empresa en Europa del Este o el Cáucaso explica las normas de EE. UU. al respecto.

Si tu grupo incluye una empresa estadounidense, comprueba también dónde viven los propietarios y los ingenieros de la empresa: el Data Security Program del Departamento de Justicia, en vigor desde el 8 de abril de 2025, nombra seis «países de interés» (countries of concern), entre ellos Rusia, y no Bielorrusia, Armenia ni Georgia. Según este programa, una empresa estadounidense puede dar a un proveedor constituido en Rusia acceso a los datos financieros personales de más de 10 000 personas estadounidenses (US persons), contadas sobre los doce meses anteriores, solo si cumple los requisitos de seguridad y de cumplimiento del programa. La norma alcanza también a un proveedor no estadounidense que pertenezca en un 50 % o más a esas empresas o a personas que viven principalmente en Rusia. Un ingeniero que vive principalmente en Rusia también es una persona cubierta (covered person), sea quien sea su empleador.

¿Con qué empresa firmamos y cómo comprobamos que es real?

Firma con la empresa que emplea a los ingenieros de tu proyecto. Si una empresa te ofrece un contrato con su sociedad de la UE o de EE. UU. mientras los ingenieros trabajan para su sociedad armenia o georgiana, pide ver cómo pasan el código y los derechos de una sociedad a la otra y después a ti.

Después, busca tú mismo la empresa en su registro oficial. En Armenia es el registro de personas jurídicas del Ministerio de Justicia, en e-register.moj.am. En Georgia, el registro de la Agencia Nacional del Registro Público. Para una empresa polaca, el Portal Europeo de e-Justicia busca en los registros mercantiles nacionales. El artículo sobre cómo elegir una empresa en Europa del Este o el Cáucaso explica qué muestra cada registro y con qué compararlo.

Una empresa real también puede dejar el trabajo a medias. El artículo sobre un equipo dedicado que no desaparece cubre las comprobaciones para ese riesgo. Las cláusulas de DORA de arriba también te protegen aquí: tu código en tus repositorios, tus datos devueltos en un formato utilizable y un período transitorio mientras haces el cambio.

¿Dónde encaja amBrain?

amBrain, que publica este blog, es una empresa de ingeniería de software de Ereván, Armenia, así que la parte armenia de este artículo se le aplica. Entre sus servicios figura el «desarrollo de terminales de trading, sistemas de gestión de órdenes e integración con exchanges por protocolo FIX». Desarrolla software desde 2019 y trabaja en tres formatos: entrega completa, un equipo dedicado o ingenieros integrados en tu equipo.

Sobre la propiedad, su frase es: «El cliente conserva la propiedad completa del producto y del código, salvo nuestros componentes reutilizables». Si amBrain está en tu lista corta, hazle las preguntas de arriba como a cualquier otra empresa: si firma las cláusulas contractuales tipo, desde dónde trabaja cada ingeniero, si acepta las cláusulas del artículo 30 y a qué componentes reutilizables se refiere.

Este artículo no es asesoramiento jurídico: haz que un abogado lea el contrato antes de firmarlo.