Vas a enviar una prueba técnica a una candidata de Senior Backend. La prueba no es un kata aislado. Necesita ver un servicio real, entender cómo habéis montado colas, revisar parte del esquema de datos y tocar un repositorio privado en GitHub. Si además estáis contratando a alguien para AI/ML, quizá también queráis compartir un dataset interno, prompts evaluados, pipelines de entrenamiento o el roadmap del producto en Notion o Jira.
Ese es el momento en el que muchas startups se equivocan. Protegen bien la producción en AWS, controlan permisos en Google Workspace y usan SSO, pero comparten información crítica en hiring sin una capa contractual clara. Luego, si algo sale mal, descubren que la seguridad técnica sin seguridad documental se queda corta.
Los contratos de confidencialidad no son un trámite para parecer serios. Son una herramienta operativa para poder contratar, colaborar y explorar sin regalar tu ventaja competitiva.
Por qué tu startup necesita un NDA antes de contratar
El riesgo real no aparece cuando firmas a la persona. Aparece antes.
Un CTO suele compartir información sensible mucho antes de hacer una oferta. Pasa al enviar una prueba que usa una API privada, al enseñar dashboards reales para discutir arquitectura o al pedir a un consultor de IA que evalúe si vuestro enfoque de fine-tuning tiene sentido. En ese punto ya has expuesto activos que valen más que el salario del puesto.
El problema no es legal. Es operativo
He visto el mismo patrón en procesos técnicos bien intencionados. El equipo quiere evaluar con contexto real y evita ejercicios artificiales. Tiene sentido. El problema llega cuando “contexto real” significa exponer:
- Código no publicado en GitHub o GitLab
- Datasets internos usados en pruebas de modelos
- Roadmaps de producto en Notion, Linear o Jira
- Arquitecturas cloud en AWS, Azure o Google Cloud
- Credenciales temporales o acceso a entornos sandbox demasiado amplios
Sin un NDA, cada una de esas cesiones depende de confianza informal. Eso funciona hasta que deja de funcionar.
Regla práctica: si el proceso de selección exige ver algo que un competidor querría conocer, ya no estás en una simple entrevista. Estás compartiendo un activo.
Cuándo aparece este riesgo en hiring
No hace falta dramatizar ni pedir firma a todo el mundo en la primera llamada. Pero sí conviene identificar los puntos de fricción reales:
- Prueba técnica con acceso interno. Si el candidato entra en un repositorio privado o consume una API no pública, protege ese acceso antes.
- Evaluación con datos sensibles. Si compartes muestras de datos de clientes o datos internos, aunque estén minimizados, necesitas reglas claras.
- Consultoría previa a contratación. Muchos founders piden a un especialista externo una sesión de scoping antes de abrir la vacante. Ahí también hay exposición.
- Procesos avanzados de liderazgo. Un Head of Engineering o Staff Engineer suele pedir contexto estratégico. Tiene lógica, pero ese contexto también debe quedar protegido.
Si además estás formalizando condiciones antes de la incorporación, conviene ordenar bien la documentación laboral y precontractual. En ese punto ayuda revisar cómo encaja el NDA con un precontrato de trabajo en startups tecnológicas.
Qué es un contrato de confidencialidad y qué tipos existen
Un NDA funciona como las reglas de la casa antes de invitar a alguien a tu espacio de trabajo digital. Define qué puede ver, para qué puede usarlo, qué no puede hacer con ello y qué pasa cuando termina la relación.
No hace falta complicarlo con jerga. En la práctica, un contrato de confidencialidad sirve para crear una relación de confianza exigible. Tú compartes información sensible. La otra parte se obliga a custodiarla, usarla solo para la finalidad acordada y no divulgarla.
NDA unilateral
Es el formato más útil en hiring técnico.
Aquí solo una parte revela información confidencial y la otra asume la obligación de protegerla. Un ejemplo claro. Tu startup comparte con una candidata acceso temporal a una API interna, documentación en Confluence y parte de un servicio en Python para una prueba. La candidata no te está revelando secretos propios. Tú sí.
Este modelo encaja bien con:
- Candidatos en fases avanzadas
- Freelancers que harán discovery o auditoría
- Proveedores con acceso a sistemas o documentación interna
- Recruiters técnicos externos cuando reciben información sensible del stack o del roadmap
NDA mutuo o bilateral
Se usa menos en selección, pero aparece mucho en partnerships, integraciones y conversaciones estratégicas.
Dos startups quieren explorar una integración entre sus productos. Una comparte detalles de su arquitectura en AWS y límites de su API. La otra revela planes de producto, criterios de priorización y dependencias técnicas. Aquí ambas partes exponen información valiosa. Tiene sentido un acuerdo bilateral.
Cuando ambos lados enseñan más que una demo comercial, el NDA mutuo suele ser la opción correcta.
Cómo elegir sin sobrecomplicar el proceso
La decisión suele ser simple:
- Si solo tu empresa comparte información sensible , usa un NDA unilateral.
- Si ambas partes van a intercambiar know-how , usa uno bilateral.
- Si nadie necesita ver nada sensible todavía , no metas un contrato por inercia.
El error habitual es usar la misma plantilla para todo. Eso genera dos problemas. Uno, fricción innecesaria con candidatos. Dos, documentos vagos que luego protegen mal lo importante.
Un CTO no necesita un NDA largo. Necesita uno preciso. Si el activo a proteger es código, modelo, dataset, arquitectura o roadmap, el documento debe decirlo de forma concreta. “Información de negocio” es demasiado amplio para un equipo técnico. “Código fuente no liberado, algoritmos propietarios, prompts evaluados, datasets de entrenamiento y documentación de arquitectura” ya empieza a servir.
Validez y límites legales de un NDA en España
Sí, funcionan en España. Pero no por magia contractual. Funcionan cuando están bien planteados, son proporcionados y describen con claridad qué se protege.
En España, los contratos de confidencialidad están respaldados por un marco jurídico reconocible. Según esta guía sobre NDA en España de Giménez-Salinas, estos acuerdos están legalmente protegidos por el Código Civil y el Código de Comercio , y su duración suele moverse entre 1 y 5 años , aunque no existe una duración máxima legal y, en casos excepcionales, pueden pactarse con duración indefinida cuando se trata de secretos comerciales o estrategias críticas.
Qué duración tiene sentido en una startup tech
Aquí conviene ser pragmático.
Si el NDA cubre una prueba técnica o una conversación de producto limitada, una duración finita suele ser suficiente. Si protege un algoritmo propietario, una arquitectura diferencial o un conocimiento que conserva valor mientras siga siendo secreto, una obligación más larga puede estar justificada. En algunos casos, incluso indefinida.
El error no es poner una duración larga. El error es ponerla sin justificarla por el tipo de activo.
Dónde suele fallar el documento
Un NDA flojea cuando intenta abarcarlo todo y acaba siendo abusivo o inútil. Si defines como confidencial cualquier cosa que el candidato vea, piense o aprenda, te expones a que la cláusula se perciba como desproporcionada. Un ingeniero puede quedar obligado a no divulgar tu código, tus decisiones de arquitectura o tus datos internos. Lo que no puedes hacer es impedirle usar su experiencia general, sus patrones de diseño o su conocimiento profesional.
Un buen NDA protege secretos concretos. Uno malo intenta apropiarse del conocimiento general de la persona.
NDA y no competencia no son lo mismo
Aquí muchas startups se meten en problemas.
Un NDA impide divulgar o usar indebidamente información confidencial. Un pacto de no competencia limita la posibilidad de trabajar para un competidor o desarrollar cierta actividad profesional. Son herramientas distintas y el segundo es mucho más delicado.
Si contratas a un Machine Learning Engineer, el NDA puede impedir que revele vuestro pipeline, vuestro sistema de evaluación o la lógica de vuestro producto. Lo que no hace, por sí solo, es impedir que luego trabaje en otra empresa del sector. Si quieres esa limitación, entras en otro terreno jurídico y contractual.
Para una startup española, la postura sensata suele ser esta: usa el NDA para proteger activos concretos y reserva la no competencia para supuestos muy específicos, bien justificados y redactados con cuidado. Mezclar ambos conceptos en una sola cláusula agresiva suele empeorar la protección en vez de reforzarla.
Las cláusulas esenciales que tu NDA debe incluir
Aquí está la diferencia entre un documento que intimida y un documento que realmente protege. La mayoría de plantillas genéricas sirven para descargar y firmar. Pocas sirven para defender código, modelos o procesos internos de una startup tecnológica.
La checklist útil empieza por definir el activo, limitar el uso y dejar claro qué ocurre al terminar la relación.
Define la información confidencial con lenguaje técnico
Si el NDA dice “información comercial, técnica o estratégica”, todavía no has protegido casi nada. Eso hay que aterrizarlo.
Para una empresa de software o IA, conviene mencionar ejemplos como estos:
- Código fuente no liberado en Python, TypeScript, Go o Java
- Repositorios privados en GitHub o GitLab y su historial de commits
- Modelos de IA , pesos, prompts internos, pipelines de evaluación o datasets de entrenamiento
- Arquitectura de sistemas en AWS, Kubernetes, Terraform, Kafka o Snowflake
- Roadmaps de producto en Jira, Linear o Notion
- Datos de clientes , reglas de scoring, documentación de seguridad y playbooks internos
Cuanto más concreto seas, más fácil será demostrar después qué estaba protegido.
Obliga a custodiar y limitar el uso
No basta con decir “no divulgar”. La parte receptora debe asumir una diligencia activa. Según estas claves legales sobre contratos de confidencialidad, un acuerdo serio exige custodiar la información con control de accesos internos, prohibición de uso indebido y mecanismos de auditoría. Eso importa mucho en tecnología porque deja rastro probatorio.
En términos prácticos, la cláusula debería cubrir al menos:
- Acceso restringido solo a las personas necesarias
- Prohibición de copia o extracción fuera del fin pactado
- No reutilización en proyectos de terceros
- Devolución o destrucción de materiales al finalizar
- Confirmación documental de esa devolución o destrucción
Consejo de revisión: si tu NDA no dice qué debe hacer el receptor para custodiar la información, has protegido la teoría pero no la operación.
Incluye exclusiones razonables
No todo debe quedar dentro del perímetro.
Suele excluirse la información que ya era pública, la que el receptor ya conocía legítimamente o la que deba revelarse por obligación legal. Estas exclusiones hacen el documento más sólido, porque muestran que no estás intentando blindar conocimiento que no te pertenece o que ya circula fuera.
Regula duración, penalizaciones y conflicto
La duración debe responder al valor del activo, no a una manía de plantilla. También conviene distinguir entre la vigencia del acuerdo y la supervivencia de la obligación de secreto.
En cuanto al incumplimiento, aquí sí conviene ser serio. Según WR Berkley sobre incumplimiento de contratos de confidencialidad, en España la vulneración de un NDA puede acarrear sanciones económicas que llegan a cientos de miles de euros , especialmente si hay divulgación de datos personales, y la Ley 1/2019 de Secretos Empresariales permite reclamar daños y perjuicios y gastos de defensa incluso reforzando reclamaciones por pérdidas sufridas.
No conviertas eso en una amenaza teatral. Úsalo para redactar cláusulas penales proporcionadas y explícitas.
Antes de cerrar tu plantilla, también conviene incluir:
- Ley aplicable y jurisdicción para evitar discusiones posteriores.
- Finalidad del acceso. Por ejemplo, “evaluación técnica de candidatura” o “scoping de colaboración”.
- Medios de prueba. Logs de acceso, correos, repositorios, documentos compartidos.
- Subcontratación y terceros. Si el receptor trabaja con otras personas, debe quedar claro si puede compartir algo y en qué condiciones.
Si quieres ver una explicación visual antes de revisar tu documento, este vídeo resume bien la lógica contractual:
NDA en el contexto de propiedad intelectual y GDPR
Un NDA no sustituye la propiedad intelectual ni el cumplimiento normativo. Los conecta.
En una startup tech, parte del valor no está registrado formalmente. Está en un algoritmo, en una lógica de ranking, en un proceso de MLOps, en un sistema de prompts o en cómo afináis un modelo con datos internos. Todo eso puede tener un valor enorme antes de convertirse en patente, marca o software comercializado.
El NDA refuerza la protección de la propiedad intelectual no registrada
La protección contractual es especialmente útil cuando el activo todavía vive dentro de la empresa y solo unas pocas personas lo conocen. En ese contexto, el NDA ayuda a demostrar que la información no se compartía libremente y que había intención real de mantenerla en secreto.
Eso es relevante para código, modelos y know-how generado por empleados o colaboradores. Según este análisis de Hiscox sobre incumplimiento de confidencialidad, la Ley de Secretos Empresariales puede proteger información confidencial incluso sin contrato formal si se demuestra su carácter estratégico. También subraya la importancia de incluir cláusulas específicas sobre la devolución del conocimiento generado y su fecha de transferencia.
Para profundizar en cómo encajan confidencialidad, autoría y repositorios cuando el activo nace durante un trabajo académico o técnico, merece la pena revisar esta guía sobre TFG confidencialidad propiedad intelectual.
Si compartes datos personales, el NDA no basta por sí solo
Este punto se pasa por alto con frecuencia en pruebas técnicas de Data Science o AI.
Si entregas un CSV, un extracto de base de datos o un acceso a un entorno con datos personales, la conversación ya no va solo de secreto empresarial. También entra en juego el cumplimiento del RGPD y de la normativa española de protección de datos. El NDA debe reflejar obligaciones de acceso, uso limitado, custodia y devolución. Pero además debes revisar si la relación exige anexos o acuerdos específicos de tratamiento.
La política interna importa tanto como el documento. Si quieres alinear hiring, confidencialidad y tratamiento de datos, conviene que tu equipo tenga una referencia clara y actualizada, como una política de privacidad adaptada a entornos digitales.
Si una prueba técnica puede hacerse con datos sintéticos, hazla con datos sintéticos. El mejor cumplimiento es evitar compartir lo que no necesitas compartir.
Cuándo y cómo usar un NDA en procesos de hiring técnico
Mi postura es clara. No pidas un NDA a todos los candidatos. Ahuyenta talento, alarga el proceso y transmite desconfianza prematura. Úsalo cuando el proceso vaya a cruzar una frontera real de confidencialidad.
Eso exige criterio, no automatismos.
Cuándo sí merece la pena
Hay contextos donde el NDA no es accesorio. Es higiene básica.
- Pruebas técnicas con repos privados. Si un Backend Engineer va a tocar un servicio real o una librería interna, firma antes.
- Acceso a APIs no públicas. Aunque sea un sandbox, sigue siendo un activo.
- Roles de AI/ML con exposición a modelos, prompts, datasets o criterios de evaluación.
- Freelancers y consultores que entran en discovery, auditoría o scoping.
- Perfiles de ciberseguridad, DevOps o plataforma con visibilidad sobre arquitectura y controles internos.
Para ordenar estos puntos dentro del funnel, ayuda mapearlos junto al resto de decisiones del proceso. Una guía útil es diseñar primero tus procesos de selección para perfiles tecnológicos y luego fijar en qué etapa aparece información sensible.
Cuándo no compensa
Pedir NDA en la primera llamada con una persona que solo ha visto la job description suele ser mala idea. También lo es exigirlo para una prueba genérica en HackerRank, Codility o un ejercicio casero sin acceso a materiales internos.
Si la evaluación puede hacerse con:
- un reto aislado,
- un caso ficticio,
- una base de datos sintética,
- o una discusión de arquitectura de alto nivel,
entonces no necesitas añadir fricción legal.
Empleados, candidatos y rechazo a firmar
En contratación laboral española hay un matiz importante. Según este análisis de Legalitas sobre acuerdos de confidencialidad, un NDA válido debe respetar la razonabilidad y proporcionalidad exigidas por la jurisprudencia vinculada a la Ley 1/2019. Además, aunque el Estatuto de los Trabajadores establece un deber implícito de confidencialidad en sus artículos 5 y 20 , la firma de un NDA específico no es obligatoria por ley salvo ciertos supuestos, pero puede justificarse cuando la naturaleza del trabajo exige proteger activos críticos como código, algoritmos de IA o datos de clientes.
Esto tiene una consecuencia práctica. Para un perfil que va a tocar propiedad técnica sensible, yo prefiero una cláusula específica en el contrato laboral o un anexo de confidencialidad bien redactado. Es más claro, más defendible y menos ambiguo que confiar solo en el deber genérico de sigilo.
Legalitas también recuerda que la negativa a firmar puede conllevar sanción disciplinaria o despido si pone en riesgo la continuidad del negocio, y que las cláusulas penales deben ser explícitas y cuantificadas, además de especificar el medio de resolución de conflictos.
En hiring técnico, la proporcionalidad manda. Si el documento parece un castigo anticipado, el candidato desconfiará. Si parece una medida razonable para proteger activos concretos, suele aceptarlo sin problema.
Una formulación útil para roles técnicos
No hace falta copiar una plantilla kilométrica. Una redacción funcional de “Información Confidencial Técnica” puede incluir elementos como estos:
- Repositorios y código. Código fuente, scripts, librerías internas, ramas privadas y documentación asociada.
- Sistemas y arquitectura. Diagramas, decisiones de diseño, configuraciones, pipelines CI/CD, infraestructura cloud y medidas de seguridad.
- Activos de IA. Modelos, datasets, prompts, criterios de evaluación, resultados de benchmarking y procedimientos de entrenamiento.
- Producto y negocio técnico. Roadmap, backlog priorizado, integraciones críticas, incidencias estructurales y decisiones no públicas sobre plataforma.
Si eso aparece claro y el acceso está acotado, el NDA protege sin convertir el proceso en una negociación hostil.
Plantilla de NDA y próximos pasos
Una plantilla útil para startup tech no necesita veinte páginas. Necesita siete bloques bien resueltos: partes firmantes, definición concreta de información confidencial, finalidad del acceso, obligaciones del receptor, exclusiones, duración y consecuencias del incumplimiento. Si además compartes activos digitales sensibles, añade devolución o destrucción de materiales y confirmación de la transferencia o cierre del acceso.
No delegues toda la claridad en legal. El equipo técnico debe listar qué protege de verdad. Si nadie traduce “nuestro core” a activos concretos, el documento se queda hueco.
Checklist final para implementar una política sensata de contratos de confidencialidad:
- Identifica tus activos críticos. Código, modelos, datasets, arquitectura, documentación y roadmap.
- Adapta una plantilla base al tipo de relación. Candidato, empleado, freelancer, partner o proveedor.
- Define el momento exacto de firma dentro del proceso de hiring. No antes de tiempo, no después del acceso.
- Asegura proporcionalidad. Protege lo sensible sin invadir el conocimiento profesional general.
- Escala a asesoría jurídica cuando el acuerdo cubra secretos empresariales de alto valor, datos personales o colaboraciones complejas.
Si estás contratando ingenieros, perfiles de AI/ML o talento técnico sensible en España, Kulturo puede ayudarte a diseñar procesos de hiring que protejan tus activos sin meter fricción innecesaria. La combinación correcta no es más burocracia. Es mejor criterio, mejor documentación y mejor selección.