Data room en la venta de una empresa: qué documentos poner y cómo protegerlo

Un data room es el repositorio, físico o virtual, donde el vendedor pone la documentación de la empresa a disposición del comprador para que haga su due diligence. En la venta de una empresa debe contener lo que el comprador necesita para valorar el negocio y sus riesgos (sociedad, cuentas, contratos, impuestos, plantilla, litigios y cumplimiento), ordenado por áreas y abierto solo después de firmar un acuerdo de confidencialidad.

Qué es un data room y para qué te sirve como vendedor

Para el comprador, el data room es la fuente de su due diligence legal, financiera y fiscal. Para ti es además una herramienta de control: decides qué se ve, cuándo y quién lo ve, y queda constancia de lo que has entregado.

Esa constancia importa en el contrato. En la compraventa puedes pactar que las manifestaciones y garantías no cubran lo que el comprador conocía porque estaba en el data room. Para apoyarte en ese pacto necesitas poder probar qué había y desde cuándo. Un documento que no se subió, o que estaba en una carpeta que nadie iba a abrir, es una reclamación esperando después del cierre.

Un data room ordenado también acorta la negociación: el comprador hace menos preguntas y encuentra antes lo que busca. Si estás empezando a preparar la operación, repasa los pasos en vender una sociedad limitada.

Qué documentos poner en el data room

La lista exacta depende del negocio y de lo que pida el comprador en su lista de petición (request list). Esta es la base:

¿Hasta qué fecha hacia atrás? El Código de Comercio obliga a conservar ordenados los libros, la correspondencia, la documentación y los justificantes del negocio durante seis años desde el último asiento (art. 30.1 del Código de Comercio). Para la mayoría de carpetas, ese es un buen límite. En las fiscales, cuenta los ejercicios que todavía pueden revisarse.

Confidencialidad: NDA antes de abrir la puerta

No subas nada hasta que el comprador haya firmado un acuerdo de confidencialidad. Además de su valor como contrato, el NDA te ayuda a acreditar las medidas razonables para mantener la información en secreto que exige la Ley 1/2019, de Secretos Empresariales, para que tenga la protección de secreto empresarial (art. 1.1.c). Y quien revela o usa un secreto empresarial incumpliendo un acuerdo de confidencialidad actúa de forma ilícita (art. 3.2).

El NDA de una venta debe decir, como mínimo, qué información es confidencial, para qué puede usarse (solo para valorar la operación), quién puede verla dentro del comprador y entre sus asesores, qué pasa si no hay acuerdo (devolución o destrucción) y cuánto dura la obligación.

Si el comprador es un competidor, añade cautelas. La información comercial sensible (precios, márgenes por cliente, estrategia) puede reservarse a un equipo reducido o a sus asesores externos hasta el final. La Ley 15/2007 prohíbe las prácticas concertadas que restrinjan la competencia (art. 1) y, si la operación debe notificarse a la CNMC, no puede ejecutarse antes de la autorización (art. 9.2). Lo explicamos en gun jumping.

Si eres socio pero no administrador, recuerda que la información la entrega la sociedad. Los administradores deben guardar secreto sobre lo que conocen por su cargo, salvo que la ley lo permita o lo requiera (art. 228.b de la Ley de Sociedades de Capital), así que conviene que la apertura del data room la decida el órgano de administración, con el NDA ya firmado.

Protección de datos: qué datos personales pueden entrar

El data room casi siempre contiene datos personales: de trabajadores, de clientes o de proveedores que son personas físicas. La LOPDGDD presume lícitos, salvo prueba en contrario, los tratamientos de datos, incluida su comunicación previa, que deriven de una modificación estructural de sociedades o de la aportación o transmisión de un negocio o rama de actividad, siempre que sean necesarios para el buen fin de la operación (art. 21.1). Si la operación no se cierra, quien recibió los datos debe suprimirlos de inmediato, sin aplicar la obligación de bloqueo (art. 21.2).

Esa presunción no permite subirlo todo. Los datos deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad (principio de minimización, art. 5.1.c del RGPD). En la práctica:

• Plantilla seudonimizada: puesto, antigüedad, salario y tipo de contrato, sin nombres ni documentos de identidad hasta que el comprador lo necesite de verdad.
• Clientes agregados: facturación por cliente o por segmento, sin datos de contacto de personas físicas.
• Bajas y datos de salud: si son relevantes, resumidos y sin identificar a nadie.
• Proveedor del data room: trata datos por cuenta de la sociedad, así que necesitas un contrato de encargo por escrito con el contenido del art. 28 del RGPD y medidas de seguridad adecuadas, como el cifrado o la seudonimización (art. 32).
• Servidores fuera del Espacio Económico Europeo: solo con una decisión de adecuación o con garantías adecuadas, como las cláusulas tipo de la Comisión (arts. 45 y 46 del RGPD).

Si quieres revisar el contrato del proveedor o el análisis de la transferencia, lo vemos en nuestros servicios de protección de datos.

Cómo ordenar el data room

1. Índice numerado por áreas, a ser posible con la misma estructura que la lista de petición del comprador. Cada documento con un número que no cambie.
2. Versiones claras: los estatutos vigentes arriba; las versiones históricas, en una subcarpeta.
3. Acceso por fases y por persona: en la primera fase, lo necesario para una oferta; en la segunda, el detalle, después de la carta de intenciones y la exclusividad.
4. Preguntas por escrito: el sistema de preguntas y respuestas deja constancia de lo que se pidió y de lo que se contestó.
5. Copia de cierre: al firmar, archiva una copia fechada del contenido. Es tu prueba de lo revelado si después hay una reclamación.

Errores que conviene evitar

• Abrir el data room antes de firmar el NDA, o con un NDA que no cubre a los asesores del comprador.
• Subir todo de golpe a un competidor, incluida la información comercial que solo necesita al final.
• Llegar con el libro registro de socios desactualizado o las cuentas sin depositar.
• Cargar datos personales sin minimizar, o elegir un proveedor sin contrato de encargo.
• No cerrar los accesos ni pedir la devolución o destrucción de la información si la venta no sale.

Preguntas frecuentes

¿El data room tiene que ser virtual?

No hay una norma que exija un formato. El virtual permite controlar accesos por persona, registrar qué se consulta y gestionar las preguntas por escrito, por lo que suele ser la opción más práctica. Si eliges uno físico, lleva un registro de visitas y de lo que se entrega.

¿Cuándo debo abrir el data room?

Cuando el comprador haya firmado el NDA y tengas preparado al menos el índice. Lo prudente es abrir una primera fase con la información general y dejar el detalle, sobre todo la información comercial y la de la plantilla, para después de la carta de intenciones.

¿Qué hago con los contratos de los directivos?

Son de los documentos que más interesan al comprador, porque fijan indemnizaciones, bonus y pactos de no competencia. Puedes subirlos en la segunda fase y, hasta entonces, dar un resumen sin nombres con las condiciones económicas y de salida de cada puesto.

¿Qué pasa con el data room si la venta no sale?

Cierra los accesos y exige lo que prevea el NDA: normalmente, devolver o destruir la información y confirmarlo por escrito. Los datos personales que se comunicaron para la operación deben suprimirse de inmediato. Guarda tu copia del contenido y del registro de accesos por si hay un uso indebido.

¿Quién prepara el data room?

El vendedor, con sus asesores. Conviene que una persona de la empresa coordine la carga de documentos y las respuestas, y que el abogado revise antes qué se sube, en qué orden y con qué limitaciones. Una revisión legal, financiera y fiscal previa te ayuda a saber qué va a buscar el comprador.