Freelance y consultores: cómo proteger los datos de tus clientes sin departamento de TI

Aceptas un cliente nuevo. En una semana, tu portátil guarda sus hojas de cálculo financieras, una carpeta de contratos, varios miles de palabras de notas de estrategia, algunas capturas de sus herramientas internas y quizá una exportación de su base de datos que te enviaron por correo «para ahorrar tiempo». Ahora eres, lo hayas buscado o no, el custodio de los datos sensibles de otra empresa. Y, a diferencia de ella, no tienes departamento de TI, ni equipo de seguridad, ni responsable de cumplimiento normativo. Solo estás tú, con un portátil que va de cafetería en cafetería.

Este es el riesgo silencioso que hay en el centro del trabajo freelance y de consultoría. Los clientes te dan acceso porque confían en ti personalmente, pero la exposición legal y reputacional es real. Si te roban el portátil, si se filtra una carpeta sincronizada, si vulneran una cuenta en la nube, son los datos de tu cliente los que quedan sueltos y es tu nombre el que va unido al incidente. Este artículo es una guía práctica para proteger los datos de tus clientes cuando trabajas por tu cuenta. Sin jerga, sin vender miedo, y con un relato honesto de lo que de verdad marca la diferencia frente a lo que solo da sensación de avanzar.

Respuesta rápida

Como freelance o consultor, puedes proteger los datos de tus clientes con un nivel realmente profesional sin ningún departamento de TI haciendo cuatro cosas: cifra tu dispositivo con cifrado de disco completo (FileVault, BitLocker o LUKS); guarda las copias de trabajo de los archivos de clientes dentro de una app con cifrado del lado del cliente, para que sigan siendo ilegibles aunque se vulnere un servicio de sincronización; usa un gestor de contraseñas con contraseñas únicas y autenticación de dos factores en todas las cuentas; y borra o devuelve los datos del cliente cuando termine el encargo. El cifrado es el control que más rinde, porque convierte un portátil perdido o una cuenta en la nube vulnerada, que serían una violación de datos que hay que notificar, en un incidente sin consecuencias. Por sí solo no te hace cumplir el RGPD (eso depende de toda tu forma de trabajar), pero es la base sobre la que se apoya todo lo demás.

¿Por qué a los freelance les quita el sueño la seguridad de los datos?

La inquietud no es irracional. Varias cosas exponen de forma especial a quien hace consultoría por su cuenta.

Concentras el riesgo. Un empleado en nómina de la empresa de tu cliente maneja los datos de una sola empresa. Tú puedes tener datos de cinco clientes a la vez, de sectores distintos, en el mismo equipo. Un solo incidente puede afectar a varios clientes al mismo tiempo.

Eres toda la superficie de ataque. No hay un portátil de trabajo aparte guardado en una oficina, ni un dispositivo gestionado con políticas impuestas, ni un cortafuegos de red que mantenga otra persona. Tu equipo personal, tus cuentas personales en la nube y tus hábitos son todo el perímetro.

Respondes legalmente. Según el RGPD, cuando un cliente (el responsable del tratamiento) te confía datos personales para que los trates por cuenta suya, normalmente eres encargado del tratamiento. El artículo 28 exige que esa relación se rija por un contrato, por lo general un contrato de encargo del tratamiento (DPA), y el artículo 32 te exige aplicar «medidas técnicas y organizativas apropiadas» para proteger los datos. El artículo 32 menciona expresamente el cifrado como ejemplo de esas medidas. Dicho de forma sencilla: proteger los datos de tus clientes no es un extra que puedas ignorar por ser pequeño. Es una obligación legal que también te alcanza a ti.

Y, para un freelance, el fallo es brutal. Una gran empresa sobrevive a un titular sobre una brecha. Un consultor cuya reputación es todo su negocio no sobrevive fácilmente a «el contratista perdió nuestra lista de clientes».

Este artículo no es asesoramiento jurídico y no puede decirte cuáles son exactamente tus obligaciones: dependen de tus clientes, de tu jurisdicción y de los datos en cuestión. Lo que sí puede hacer es mostrarte los controles técnicos que reducen tu riesgo de forma constante, y dónde están sus límites reales.

¿Qué cuatro controles importan de verdad?

La mayoría de los consejos de seguridad para pequeños profesionales son un muro de trucos. No necesitas cuarenta hábitos. Necesitas cuatro controles bien hechos, más o menos en este orden de impacto.

1. Cifra el propio dispositivo

Empieza por aquí porque es gratis, viene integrado y protege contra el incidente más común: un portátil perdido o robado. El cifrado de disco completo significa que, si alguien roba el equipo, el disco es ilegible sin tu inicio de sesión. Activa FileVault en macOS, BitLocker en Windows Pro (o el cifrado de dispositivo en Home) y usa LUKS en Linux. Son diez minutos y cierran toda una categoría de desastres del tipo «me dejé el portátil en el tren».

Pero entiende lo que el cifrado de disco completo no hace. Protege los datos cuando el equipo está apagado. En cuanto inicias sesión, todo está descifrado y lo puede leer cualquier app que se ejecute con tu usuario, y no hace nada por los archivos que sincronizas con la nube o copias a una memoria USB. Es necesario y está muy lejos de ser suficiente. Vale la pena entender bien la diferencia entre la protección a nivel de disco y a nivel de archivo, y la explica bien esta guía sobre cifrado de disco completo frente a cifrado del lado del cliente para notas y archivos.

2. Guarda los archivos de clientes en una app con cifrado del lado del cliente

Este es el control que separa el nivel aficionado del nivel profesional. El cifrado de disco completo protege el portátil; el cifrado del lado del cliente protege los propios archivos, vayan donde vayan.

La idea clave es que el archivo se cifra en tu dispositivo, con una clave que solo tienes tú, antes de llegar a un servidor de sincronización. Así, aunque tu proveedor de nube sufra una brecha, reciba una solicitud de una autoridad o simplemente sea descuidado, lo que se filtra es texto cifrado ilegible y no los contratos reales de tu cliente. Esa es la diferencia entre un incidente embarazoso pero inofensivo y una violación de datos que hay que notificar. Lo que está en juego se ve con claridad en esta comparación de lo que se filtra en una brecha con el almacenamiento en la nube clásico frente al cifrado local: un escenario filtra documentos legibles; el otro, ruido.

Aquí hay un vocabulario que los proveedores difuminan a propósito. «Cifrado en reposo» suele significar solo que el proveedor cifra tus datos con claves que tiene el propio proveedor, lo que protege contra un disco duro robado en su centro de datos, pero no contra el propio proveedor, un empleado desleal o una solicitud de una autoridad. El cifrado de «conocimiento cero» (zero-knowledge), o el verdadero cifrado de extremo a extremo, significa que el proveedor, por diseño, no puede leer tus datos porque nunca tiene la clave. Para los datos de clientes, quieres lo segundo. Si solo vas a leer una explicación, que sea este desglose de zero-knowledge frente a extremo a extremo frente a cifrado en reposo, porque la mayoría de las herramientas «seguras» están, sin decirlo, en la categoría más débil.

3. Protege tus cuentas con un gestor de contraseñas y 2FA

El cifrado del dispositivo no sirve de nada si un atacante simplemente inicia sesión en tus cuentas. Los dos hábitos que importan: un gestor de contraseñas para que cada cuenta tenga una contraseña única y robusta, y la autenticación de dos factores en todo lo que guarde datos de clientes o dé acceso a ellos, sobre todo en tu correo, porque tu correo es el mecanismo de restablecimiento de todo lo demás. Es poco vistoso y es el mayor rendimiento que vas a sacar nunca a diez minutos de esfuerzo. Una contraseña filtrada de algún sitio sin relación nunca debería poder abrir la carpeta de proyecto de tu cliente.

4. Ten un plan de salida para los datos

Los datos que ya no tienes no se pueden filtrar. Cuando termine un encargo, borra los archivos del cliente o devuélveselos, y retira su acceso de cualquier sistema compartido. Conservar datos no es solo cuestión de orden: según los principios de minimización de datos y de limitación del plazo de conservación del RGPD, no deberías guardar datos personales más tiempo del necesario. Como encargado del tratamiento, tu contrato con el cliente también debería decir qué pasa con sus datos al final. Un hábito sencillo, una carpeta por cliente que puedas cifrar, archivar y luego borrar limpiamente, lo hace indoloro. Mantener a cada cliente bien separado desde el primer día es mucho más fácil que desenredar más tarde los archivos de cinco clientes de un gran caos en el escritorio.

¿Dónde guardar los archivos de tus clientes? Comparativa de opciones realistas

¿Dónde deberían vivir de verdad los archivos de trabajo de tus clientes? Esta es una comparación honesta de las configuraciones habituales a las que recurre un freelance.

Configuración	Protege un portátil robado	Protege ante una brecha en la nube	El proveedor puede leer los archivos	Opción sin coste	Realista para un profesional en solitario
Carpetas normales + Dropbox/Drive	No	No	Sí	Plan gratuito	Muy fácil, pero la más débil
Solo cifrado de disco completo	Sí (con el equipo apagado)	No	No aplica (sin sincronización)	Gratis	Fácil, pero sin seguridad en la nube
Nube convencional «cifrada en reposo»	En parte	No	Sí	Variable	Fácil, falsa sensación de seguridad
App con cifrado del lado del cliente / zero-knowledge	Sí	Sí	No	A menudo gratis en local	Fácil una vez configurada
Servidor propio autoalojado	Depende	Depende de tu configuración	Depende	Coste del servidor + tu tiempo	Te conviertes en el departamento de TI

La fila que la gente subestima es la de la «nube convencional cifrada en reposo». Suena segura y se vende como segura, pero el proveedor tiene las claves, así que falla justo en el escenario que más temes. La fila del autoalojamiento es la trampa opuesta: puede ser excelente, pero gestionar tu propio servidor significa que has vuelto a contratar, sin darte cuenta, al departamento de TI que intentabas evitar, con sus parches, sus copias de seguridad y su disponibilidad. Para la mayoría de los consultores que trabajan solos, una app con cifrado del lado del cliente y sincronización opcional es el punto ideal entre una protección fuerte y una carga operativa baja.

¿Cómo se ve esto en una semana normal?

La teoría sale barata. Así se traduce este flujo de trabajo en algo que harías de verdad.

Cuando empieza un proyecto, crea un espacio dedicado por cliente para que sus notas y archivos nunca se mezclen entre sí ni con tus cosas personales. Mete ahí todo lo de ese cliente: el briefing, los contratos, los documentos de trabajo, las capturas, las notas sueltas. Como todo el espacio está cifrado en tu disco, no tomas una decisión de seguridad archivo por archivo: lo predeterminado es seguro.

Mientras trabajas, enlaza las cosas entre sí en lugar de buscar entre carpetas. Una nota de reunión remite al PDF del que salió; un entregable enlaza con los datos de origen. No es solo orden: significa que, seis meses después, puedes reconstruir por qué tomaste una decisión, lo que ya es una forma de protección profesional. Si quieres ver cómo compensa conectar así notas y documentos, esta guía sobre organizar notas y archivos juntos con un grafo lo explica paso a paso.

Cuando necesites enviar un archivo a un cliente, evita mandar adjuntos sensibles por correo, porque el correo no es confidencial. Prefiere un enlace en el que la clave de descifrado nunca llegue al servidor, para que quien lo aloja no pueda leer lo que compartiste. Y cuando el encargo termine, archiva el espacio de ese cliente, entrega lo que debes y borra tu copia de trabajo en el plazo acordado.

Nada de esto requiere un departamento de TI. Requiere elegir herramientas cuyo comportamiento seguro sea el predeterminado, para que la seguridad sea el camino de menor resistencia y no una disciplina que tengas que mantener.

¿Dónde encaja Filarr? Sin rodeos

Filarr es una opción para el segundo control de arriba: un espacio de trabajo cifrado y local-first (primero en local) en el que tus notas y tus archivos conviven en tu propio equipo. Cada archivo y cada nota se cifra con AES-256-GCM bajo la clave de tu cuenta (la FEK), con un valor aleatorio (IV) nuevo para cada uno; solo los archivos grandes importados en el escritorio y los bloques sincronizados derivan además una clave propia. La FEK está a su vez envuelta por una clave derivada de tu contraseña (PBKDF2-SHA-512, 600 000 iteraciones). Funciona totalmente sin conexión y sin necesidad de cuenta, y la sincronización en la nube es opcional: cuando sincronizas, los archivos se suben ya cifrados y el servidor solo guarda bloques opacos que no puede leer. La recuperación pasa por una frase BIP-39 de 24 palabras, así que olvidar la contraseña no significa perder los datos. Varios espacios de trabajo te permiten mantener a cada cliente bien separado. Es gratis para siempre en uso local, con sincronización gratuita hasta 5 GB y planes de pago desde 4 €/mes, y el código del cliente de escritorio es público bajo BSL 1.1 (el término exacto es «source available», código disponible, y no código abierto en el sentido de la OSI). Si quieres conocer toda la arquitectura, el equipo explicó cómo la sincronización opcional en la nube sigue siendo zero-knowledge.

Ahora, los límites reales, porque no deberías elegir una herramienta por su marketing. Filarr es un proyecto joven (2026), su app de Android es joven y no hay app para iPhone, y su ecosistema de plugins es mucho más pequeño que el de, por ejemplo, Obsidian. Y lo más importante, la parte que ninguna herramienta debería dejarte olvidar: el cifrado es un control, no el cumplimiento normativo. Filarr cifra tus archivos. No firma por ti un contrato de encargo del tratamiento, no te hace cumplir el RGPD por sí solo y no es asesoramiento jurídico. Tu cumplimiento depende de toda tu forma de trabajar (tus contratos, tus hábitos de conservación, cómo atiendes las solicitudes de los clientes), no de una sola app. Trata el cifrado como la base sólida que es y construye el resto de tus prácticas encima.

Lista de comprobación práctica

Activa hoy el cifrado de disco completo (FileVault, BitLocker o LUKS). Diez minutos, coste cero.
Guarda los archivos de trabajo de tus clientes en una app con cifrado del lado del cliente, no en carpetas normales de un almacenamiento en la nube convencional.
Aprende la diferencia entre «cifrado en reposo» (las claves las tiene el proveedor) y zero-knowledge (solo las tienes tú), y prefiere lo segundo para los datos de clientes.
Usa un gestor de contraseñas y 2FA en todas las cuentas, sobre todo en el correo.
Separa a cada cliente en su propio espacio desde el primer día.
No envíes nunca adjuntos sensibles por correo; comparte mediante enlaces en los que la clave se queda contigo.
Firma un contrato de encargo del tratamiento con tus clientes cuando trates datos personales por cuenta suya, y acuerda con ellos qué pasa con los datos al final.
Borra o devuelve los datos del cliente cuando termine el encargo; no los acumules.
Recuerda que el cifrado reduce muchísimo el riesgo, pero no es, por sí solo, cumplimiento normativo ni asesoramiento jurídico.

Preguntas frecuentes

¿De verdad tengo obligaciones del RGPD como freelance en solitario?

Muy probablemente sí, si tratas datos personales por cuenta de tus clientes. Ser pequeño no te exime. Cuando un cliente te confía datos personales para que los trates por él, en general eres encargado del tratamiento, lo que implica un contrato de encargo del tratamiento según el artículo 28 y medidas de seguridad apropiadas según el artículo 32, con el cifrado como ejemplo expreso. El alcance exacto depende de tu trabajo y de tu jurisdicción, así que tómalo como una invitación a informarte en detalle, no como asesoramiento jurídico.

¿No basta con el cifrado de disco completo?

No. Es imprescindible y protege un portátil perdido o robado cuando el equipo está apagado, pero en cuanto inicias sesión los datos están descifrados, y no hace nada por los archivos que sincronizas con la nube o copias a otro sitio. Necesitas, además, cifrado a nivel de archivo del lado del cliente para proteger los datos mientras viajan y se sincronizan.

Mi proveedor de nube dice que mis datos están cifrados. ¿Estoy cubierto?

Comprueba quién tiene las claves. «Cifrado en reposo» suele significar que el proveedor cifra tus datos con claves que controla él, lo que no te protege del propio proveedor, de alguien desleal desde dentro ni de una brecha en la que también queden expuestas las claves. Para los datos de clientes quieres cifrado zero-knowledge o un verdadero cifrado de extremo a extremo, en el que el proveedor, por diseño, no puede leer tus archivos.

¿Cómo envío un archivo sensible a un cliente de forma segura?

Evita los adjuntos de correo para todo lo confidencial, porque el correo no es un canal privado. Usa un método para compartir en el que la clave de descifrado quede fuera del alcance del servidor, para que quien aloja el archivo solo vea datos cifrados. Junto con una contraseña robusta y única en ambos extremos, así el archivo solo resulta legible para ti y para tu cliente.

¿Debería autoalojar mis archivos para tener el control total?

Solo si de verdad quieres gestionar y mantener un servidor, con sus parches, sus copias de seguridad, su disponibilidad y todo lo demás. Para la mayoría de los consultores que trabajan solos, autoalojar recrea sin que se note el departamento de TI que intentaban evitar. Una app con cifrado del lado del cliente y sincronización zero-knowledge opcional te da la mayoría de las ventajas de mantener el control de tus datos con una fracción de la carga operativa.