Contrato de confidencialidad (NDA) en México: guía

Respuesta rápida: El contrato de confidencialidad o NDA (non disclosure agreement) no tiene una ley propia en México: es un contrato atípico válido por la libertad contractual del Art. 1832 del Código Civil Federal y, entre comerciantes, del Art. 78 del Código de Comercio. Se refuerza con tres pilares legales: la protección del secreto industrial que otorga la LFPPI a la información confidencial con valor competitivo, la pena convencional de los Arts. 1840 a 1847 CCF que sustituye la prueba del daño, y la LFPDPPP cuando la información incluye datos personales. Un NDA útil define qué es confidencial, qué no lo es, para qué puede usarse, cuánto dura la reserva y qué pasa si se rompe.

Las cláusulas de un NDA y para qué sirve cada una

¿Qué protege un contrato de confidencialidad y por qué es válido?

El Código Civil Federal establece que en los contratos civiles cada uno se obliga en la manera y términos que aparezca que quiso obligarse (Art. 1832 CCF), y el Código de Comercio repite la fórmula para las convenciones mercantiles (Art. 78 CCom). Esa es la base de validez del NDA: no necesita notario, registro ni una ley especial. Necesita consentimiento demostrable, mediante firma autógrafa o firma electrónica, y objeto determinado: la información que se protege.

El refuerzo viene de la Ley Federal de Protección a la Propiedad Industrial (LFPPI), que protege como secreto industrial la información de aplicación industrial o comercial que una persona guarda con carácter confidencial, que le significa obtener o mantener una ventaja competitiva frente a terceros y respecto de la cual ha adoptado medios o sistemas suficientes para preservar su confidencialidad. La ley sanciona a quien revele o use sin autorización un secreto industrial al que tuvo acceso con motivo de su trabajo, cargo o relación de negocios. El NDA es precisamente la prueba de que el titular adoptó medidas para preservar el secreto.

¿Qué información debe quedar definida como confidencial?

La cláusula de definición es el corazón del contrato. Dos modelos:

• Definición amplia: toda información que una parte entregue a la otra con motivo de la relación, en cualquier formato. Es fácil de redactar y difícil de hacer valer, porque obliga a tratar como secreto hasta una tarjeta de presentación.
• Definición por categorías con marcado: fórmulas, procesos, código fuente, listas de clientes y proveedores, precios, márgenes, planes comerciales, información financiera y laboral, y cualquier documento marcado como confidencial o que razonablemente deba entenderse así. La información oral se protege si se confirma por escrito en un plazo corto.

El segundo modelo exige disciplina pero protege mejor. En ambos casos añade las exclusiones estándar: información que ya era pública, que el receptor ya conocía, que desarrolló de forma independiente o que recibió legítimamente de un tercero, y la que deba revelarse por orden de autoridad, con aviso previo al titular para que pueda defenderse.

Obligaciones del receptor: más que no contar

No revelar es solo la primera. Un NDA completo obliga al receptor a:

1. Usar la información únicamente para la finalidad pactada (evaluar una operación, prestar un servicio, desarrollar un producto). El uso propio es la fuga más común y la más difícil de probar sin esta cláusula.
2. Limitar el acceso a empleados y asesores con necesidad de conocer, obligados por escrito en términos equivalentes, y responder por ellos.
3. Aplicar medidas de seguridad razonables, no menores a las que usa para su propia información sensible.
4. Avisar de inmediato cualquier acceso no autorizado o fuga.
5. No hacer ingeniería inversa sobre muestras, prototipos o software, cuando aplique.
6. Devolver o destruir la información al terminar o a solicitud, con certificación escrita.

Cuando el NDA acompaña a un contrato de servicios, estas obligaciones deben coincidir con las del contrato principal. El vínculo se explica en contrato de prestación de servicios entre empresas.

¿Qué pasa con los datos personales?

Si la información incluye datos de clientes, empleados o pacientes, el NDA no basta. La LFPDPPP impone obligaciones propias: el responsable que comparte los datos debe tener un aviso de privacidad que permita la transferencia o la remisión, y quien los recibe por cuenta del responsable actúa como encargado, obligado a tratar los datos solo conforme a sus instrucciones, a implementar medidas de seguridad, a guardar confidencialidad y a no usarlos para fines propios. La cláusula de datos personales debe nombrar ese rol, prohibir subcontratar sin autorización y prever la notificación de vulneraciones. La confidencialidad general del NDA no cumple por sí sola estas reglas.

Vigencia: dos plazos distintos

Separa el plazo del acuerdo (el periodo durante el cual se intercambia información) del plazo de la obligación de reserva, que debe sobrevivir a la terminación. Lo habitual es fijar varios años posteriores para la información comercial y, para los secretos industriales, mantener la obligación mientras la información siga siendo secreta. Una reserva perpetua para toda la información, sin distinción, es difícil de defender; una reserva demasiado corta vuelve inútil el contrato.

Pena convencional: la cláusula que vuelve exigible el NDA

Probar el daño que causa una fuga de información es muy difícil. Por eso el instrumento central del NDA es la pena convencional: el Art. 1840 CCF permite que los contratantes estipulen cierta prestación como pena para el caso de que la obligación no se cumpla, y entonces no puede reclamarse además indemnización por daños y perjuicios, salvo pacto en contrario cuando el daño exceda la pena. El límite está en el Art. 1843 CCF: la cláusula penal no puede exceder ni en valor ni en cuantía a la obligación principal.

En un NDA la obligación principal no tiene un precio evidente, así que conviene cuantificar en el propio contrato el valor de la información protegida o atar la pena a un parámetro objetivo (el valor de la operación, el monto del contrato principal). Sin esa referencia, la parte infractora tendrá un argumento para reducir la pena. Para contratos mercantiles, la libertad del Art. 78 CCom da margen adicional, pero el principio de proporcionalidad sigue siendo la guía.

¿Qué hacer cuando se rompe la confidencialidad?

• Documenta el indicio desde el primer momento: correos, capturas, testigos, registros de acceso.
• Notifica por escrito al receptor exigiendo el cese y la devolución o destrucción.
• Reclama la pena convencional y, en su caso, los daños que la excedan si el contrato lo permite.
• Acciones de la LFPPI cuando la información califique como secreto industrial: la ley prevé acciones contra quien lo revele, se apodere o lo use indebidamente, además de las sanciones que correspondan.
• Medidas cautelares para impedir que la información siga circulando, cuando el daño sea inminente.

Si la fuga afecta signos distintivos o productos imitados, revisa también qué hacer si copian tu marca.

Errores frecuentes en los NDA que llegan al despacho

1. Plantillas en inglés traducidas con figuras que no existen en México.
2. Sin finalidad definida: el receptor usa la información para su propio producto y alega que no la "reveló".
3. Sin cláusula de datos personales, aunque se comparten bases de clientes.
4. Pena sin referencia de valor, fácil de impugnar.
5. Vigencia que termina con el acuerdo, dejando libre la información al día siguiente.
6. Firma sin facultades: lo firma un gerente sin poder para obligar a la sociedad. El punto se explica en responsabilidad de administradores y consejeros.

Cómo te ayudamos

En RIVENZA redactamos NDA unilaterales y recíprocos para negociaciones, servicios, desarrollo de producto y compraventa de empresas, con definiciones exigibles, pena convencional defendible y cláusula de datos personales conforme a la LFPDPPP. Precio cerrado por adelantado.

Cuéntale tu caso a la abogada titular con la Lic. Angélica Rivera. Consulta la página de confidencialidad dentro del hub de contrato mercantil, y si el NDA acompaña a un servicio, genera el borrador base con el generador de contrato de prestación de servicios.