Cómo elegir una sala de datos virtual: la rejilla comparativa

Son las nueve de la noche, falta un día para abrir la diligencia y tienes seis pestañas de proveedores abiertas. Todas prometen lo mismo con las mismas palabras relucientes. Ninguna te dice cuál encaja con tu operación.

Ese es el problema real. Elegir una sala de datos virtual parece técnico y en realidad es una compra.

Casi todas las salas serias corren sobre la misma base: almacenamiento cifrado, permisos por carpeta, visor de solo lectura, registro de auditoría y algún módulo de preguntas y respuestas. Las fichas de funciones convergen.

Por eso la pregunta útil no es “cuál hace más”. Es “cuál encaja con esta operación, este calendario y este presupuesto”.

Esta guía usa un formato deliberado: una rejilla. En lugar de leer prosa de marketing, alineas a tus candidatos en tablas y lees diferencias. Menos adjetivos, más columnas.

El veredicto rápido

Antes de la letra chica, el resultado.

La sala correcta no es la más famosa ni la más barata. Es la que gana la rejilla que armas para tu operación.

El método cabe en una frase: define el perfil, filtra por el piso de seguridad, pondera cuatro criterios, prueba dos o tres finalistas con archivos reales y elige la puntuación más alta. Si dos empatan, desempata por rapidez de puesta en marcha y por tiempo de respuesta del soporte. Son las dos cosas que duelen cuando falta un día para una fecha límite.

Lee esa fila como un presupuesto para la decisión, no solo para el producto.

Cuatro criterios te dan permiso para ignorar al vendedor que quiere hablar de una quinta función vistosa. Una semana significa que la evaluación es un sprint, no un proyecto que se come el trimestre.

La rejilla comparativa: cuatro criterios

Cuatro criterios cargan con la mayor parte del peso. El resto son desempates disfrazados de titular.

La tabla siguiente los convierte en algo que puedes verificar con tus propias manos, no aceptar de palabra.

Criterio	Cómo se ve lo bueno	Cómo se ve lo malo	Dónde lo confirmas
Seguridad certificada	SOC 2 Type II e ISO 27001 vigentes, cifrado en tránsito y en reposo	Insignia sin informe, alcance recortado, “en proceso de certificar”	Pide el informe y el alcance del certificado, no una imagen en la web
Profundidad de permisos	Derechos por carpeta y documento, visor de solo lectura, marca de agua dinámica, caducidad	Solo carpetas, permisos de “todo o nada”, sin caducidad	Arma dos grupos rivales en la prueba y confirma que no se ven entre sí
Modelo de precios	Ajustado al volumen: tarifa plana para calendarios abiertos, por página solo para lotes chicos	Precio verbal, excedentes sin definir, “depende”	Exige cotización por escrito en USD con almacenamiento, usuarios y excedentes
Soporte e incorporación	Contacto asignado, respuesta bajo una hora, ayuda en tu horario	Solo correo, respuesta en días, sin contacto nombrado	Abre un ticket real durante la prueba y cronometra la respuesta

Fíjate en la última columna. Cada casilla ocurre en una prueba, no en una demostración.

El proveedor controla la demo. Tú controlas la prueba. Ahí el criterio deja de ser una afirmación en una diapositiva y se vuelve evidencia que juntaste tú.

Hay un quinto renglón que la gente subestima: la rapidez de puesta en marcha. Cada hora peleando con una carga torpe o un modelo de permisos confuso es una hora en la que la operación no avanza, y ese tiempo se acumula cuando una contraparte espera acceso.

Cronométrate armando una sala de 200 archivos lista para revisores. No confíes en la estimación del vendedor.

Seguridad: el piso que no se negocia

Para cualquier operación con asesores externos, compradores institucionales o datos regulados, trata SOC 2 Type II e ISO 27001 como un piso rígido. Sin certificado, no entra a la rejilla.

Son los dos marcos que el equipo de seguridad del comprador espera ver. Su ausencia no solo se ve mal: frena la diligencia mientras el área de TI de la contraparte levanta objeciones que tú terminas contestando con tiempo de la operación.

Lo que está en juego no es abstracto. El Informe de 2025 sobre el Coste de una Filtración de Datos de IBM situó el coste medio mundial de una filtración en 4,44 millones de USD (IBM).

Piensa en lo que guarda una sala. Estados financieros, contratos, tabla de capitalización, expedientes de personal. Y luego invita a terceros a leerlo. Ese es justo el escenario donde la auditoría independiente, no la promesa del proveedor, es la única defensa creíble.

Los dos certificados no son intercambiables.

ISO/IEC 27001 es el estándar internacional para sistemas de gestión de seguridad de la información, publicado por la Organización Internacional de Normalización. Prueba que el proveedor opera un sistema documentado y auditado, no un puñado de prácticas sueltas.

SOC 2 lo definen los Trust Services Criteria de la AICPA. En su forma Type II comprueba que los controles funcionaron a lo largo de meses, no que existían en papel en un instante. Pide el informe Type II, no un Type I ni una insignia sin fecha.

Residencia de datos en clave latinoamericana

Encima del piso hay una dimensión que en la región cambia mucho según dónde ocurra la operación.

Si vendes una empresa en Brasil, la LGPD y la autoridad ANPD marcan cómo se tratan los datos personales; una carve-out con nómina o datos de clientes exige saber en qué región se alojan los archivos. En México, la LFPDPPP y su reglamento imponen deberes parecidos sobre datos personales de empleados y contrapartes.

Una compra en Colombia o Chile con inversores europeos añade una tercera capa. Si la carpeta toca datos personales de la UE, entran las obligaciones de transferencia bajo el RGPD.

La tabla siguiente resume cómo tratar la residencia según el escenario. No es asesoría legal; es un mapa para saber qué preguntar.

Escenario de operación	Marco que suele pesar	Qué exigir a la sala
M&A doméstica en Brasil con datos de clientes	LGPD / ANPD	Región de alojamiento definida y registro de acceso exportable
Adquisición en México con datos de empleados	LFPDPPP	Fijar almacenamiento, controlar descargas, marca de agua
Ronda o venta con inversores de la UE	RGPD	Residencia elegible en la UE y base de transferencia clara
Escisión regulada regional (energía, salud)	Sectorial + local	Controles de nivel empresarial y auditoría por usuario

Para el filtrado completo, repasa la lista de comprobación de seguridad de VDR, la guía de residencia de datos y la explicación de qué certificaciones importan. Si vas a mover datos personales europeos, RGPD y salas de datos cubre el detalle. Los términos sueltos están en el glosario: permisos granulares, SOC 2, ISO 27001 y residencia de datos.

Cómo cambia la elección según tu operación

El mismo criterio pesa distinto según la operación, y fingir lo contrario lleva a comprar de más.

Una fundadora que abre una ronda semilla en Bogotá necesita rapidez y una experiencia limpia para el inversor mucho más que un motor pesado de preguntas y respuestas que ningún inversor semilla va a tocar.

Una compra de mercado medio entre dos empresas familiares en Monterrey necesita permisos disciplinados y un registro de auditoría exportable. Hay más partes, y alguien preguntará después quién vio qué.

Una escisión regulada en el sector energía de Chile necesita residencia y administración de nivel empresarial que una sala ligera nunca tuvo.

Lee las columnas de arriba abajo y el patrón salta. La fila de certificación es la única que no se mueve; todas las demás cambian con el perfil.

Ese es el argumento contra la idea de una “mejor sala” universal. Pagar precios de empresa para una ronda de amigos y familia es tirar el dinero en controles que nadie usará. Abrir una carve-out regulada en una sala ligera es dejar un hueco que la contraparte va a señalar.

Si ya conoces tu perfil, nuestras listas clasificadas parten de ahí: salas para startups, fusiones y adquisiciones, capital privado y, cuando el presupuesto manda, mejor relación calidad-precio. Úsalas para acortar el campo, no para saltarte la prueba.

Precio y modelo de facturación

Presupuesta contra tu volumen de documentos y tu calendario, no contra el precio de portada. Suele ser el número menos informativo de la página.

El precio de entrada indicativo arranca en torno a 99 USD al mes para salas ligeras. Las de mercado medio suelen ubicarse en las cientos de dólares bajas a medias por mes. Los despliegues empresariales o por operación se cotizan uno a uno.

Trata cada cifra como indicativa y confírmala en USD con el proveedor. El almacenamiento incluido, las licencias y los excedentes cambian seguido y sin aviso.

El modelo de facturación suele pesar más que la cifra de portada. Y es donde más se equivocan los compradores primerizos.

Una regla práctica te mantiene fuera de problemas: nunca aceptes un precio verbal.

Exige una cifra mensual todo incluido en USD, por escrito, que nombre el almacenamiento incluido, el número de licencias, el excedente por página o por gigabyte y el coste de mantener la sala abierta pasado el plazo cotizado. El proveedor que pone esos números por escrito es el proveedor cuya factura no te va a sorprender.

Desglosamos el equilibrio en por página frente a tarifa plana y en modelos de precios explicados; el desglose completo de costes, el resumen de salas más económicas y la lista de costes ocultos muestran dónde se esconden las tarifas antes de que firmes.

Señales de alarma frente a concesiones aceptables

Algunas limitaciones deberían detener una preselección en seco. Otras son solo concesiones que hay que meter en el precio.

La destreza está en separarlas para no comprar ni de más ni de menos. Los descalificadores se agrupan alrededor del piso de seguridad y de la honestidad; las concesiones suaves son aceptables cuando el perfil no se apoya en ellas.

El último descalificador es el que la gente olvida revisar.

Un registro de auditoría que anota vistas, descargas e impresiones por usuario no es un lujo. Es tu base de evidencia mucho después de cerrar.

Si surge una disputa sobre qué revisó un postor, o un regulador pregunta cómo se manejó material sensible, el registro exportable es lo que contesta. Una sala que no lo produce te deja defendiendo la operación de memoria.

La guía para evitar los errores comunes y la explicación de cómo funcionan los registros de auditoría cubren el resto de las trampas.

Preguntas para el proveedor antes de comprar

Haz las preguntas que una demo está diseñada para saltarse: las de alcance, límites y qué pasa cuando la operación termina.

Un proveedor seguro contesta con números, fechas y documentos. Uno vago contesta con adjetivos, y la vaguedad ya es un dato. Lleva esta lista a cada llamada y guarda las respuestas por escrito para alinearlas después en la rejilla.

• Alcance del certificado: “¿Qué cubre exactamente tu informe SOC 2 y cuándo fue tu última auditoría ISO 27001?” Un alcance estrecho puede excluir en silencio el producto o la región que en realidad compras.
• Residencia de datos: “¿Qué regiones pueden alojar nuestros datos y podemos fijar el almacenamiento en una?” Decisivo si tu operación toca LGPD, LFPDPPP o datos de la UE.
• Precio y excedentes: “¿Cuál es la cifra mensual todo incluido en USD, con almacenamiento, licencias y excedentes?” Insiste por escrito antes de comparar salas.
• Profundidad de la auditoría: “¿El registro de auditoría recoge vistas, descargas e impresiones por usuario, y podemos exportarlo?” Puedes necesitar ese registro mucho después del cierre.
• Modelo de permisos: “¿Puedo fijar derechos por carpeta y documento, visor de solo lectura y marca de agua dinámica, y caducar el acceso en una fecha?” Son los controles que dejan compartir una sala entre partes rivales.
• Condiciones de salida: “¿Cómo exportamos todo y eliminamos la sala cuando terminamos?” Una sala de la que no puedes salir con limpieza se vuelve un lastre y, a veces, una factura permanente.
• Soporte: “¿Quién es nuestro contacto asignado y qué tiempo de respuesta garantizan en nuestro horario?”

Guarda las respuestas aunque no elijas a ese proveedor. En tu próxima operación la misma lista, ya contestada, te ahorra una semana.

Cómo probar de verdad a los finalistas

La rejilla filtra el campo. La prueba confirma el encaje.

Preselecciona dos o tres salas y corre en cada una una prueba gratuita corta y estructurada con los mismos documentos reales y la misma evaluación, para comparar evidencia y no impresiones.

El guion es concreto. Sube una porción genuina de tu conjunto de diligencia, no los archivos de muestra del proveedor. Recrea tu índice de carpetas. Monta dos grupos de permisos deliberadamente en conflicto, por ejemplo dos postores rivales. Activa los controles de seguridad. Abre un ticket de soporte real.

La prueba de permisos es la que separa una sala de verdad de una bonita.

Crea dos grupos que nunca deben verse, carga un archivo en cada uno, entra como miembro de cada grupo y confirma que el archivo del otro es realmente invisible, no solo “sin enlace”. Ese es el escenario exacto de una subasta o un proceso competitivo, y una sala que lo falla en una prueba tranquila te va a fallar a gritos en una operación en vivo.

Para el paso a paso de la configuración, la guía de puesta en marcha cubre índice, permisos y monitoreo, y prueba gratuita frente a salas de pago explica qué suele incluir cada nivel.

Proveedores conocidos del mercado

Con tus criterios y tu ponderación fijados, las reseñas individuales son donde confirmas cómo se comporta cada proveedor en la práctica y no en un folleto. Nuestras reseñas prácticas registran precios reales en USD, controles de seguridad que pudimos verificar y limitaciones honestas de cada sala.

Proveedor	Encaje típico	Fortaleza	Reseña
iDeals	Mercado medio equilibrado, M&A y capital privado	Permisos y soporte sólidos sin peso de empresa	iDeals
Datasite	Grandes transacciones dirigidas por bancos	Preguntas y respuestas y auditoría de nivel empresarial	Datasite
Firmex	Mercado medio y asesores recurrentes	Precio predecible y salas ilimitadas	Firmex
Ellty	Equipos que valoran una puesta en marcha rápida	Sala moderna y accesible	Ellty

El adecuado sigue dependiendo del perfil que definiste antes. Por eso los cara a cara suelen ser más útiles que una sola reseña.

Si ya acortaste a dos nombres, comparaciones como iDeals frente a Datasite, Ellty frente a iDeals o Datasite frente a Intralinks los alinean directamente, y la comparación completa pone seguridad, funciones y precios en USD de cada proveedor en una sola vista.

Veredicto final

Convierte tu criterio en una puntuación ponderada simple para que la decisión sea defendible y repetible.

Asigna a cada uno de tus cuatro criterios un peso sobre 100 según el perfil. Valora cada finalista sobre diez en cada criterio con la evidencia de la prueba. Multiplica y suma. La puntuación más alta gana.

Como los pesos reflejan tu transacción concreta, el método sirve también para la siguiente operación con solo cambiar los pesos.

El trabajo real del marco no es la falsa precisión. Es evitar que una demo pulida o una marca conocida pasen por encima de lo que tu operación necesita.

Define el perfil, filtra por el piso, arma la rejilla, prueba con archivos reales y la elección se toma sola. Si dos salas empatan tras todo eso, desempata por rapidez de puesta en marcha y por respuesta del soporte, las dos cosas que vas a sentir cada día que la operación esté abierta.

Frequently asked questions

¿Cómo elijo un proveedor de sala de datos virtual?

Arma una rejilla con cuatro criterios: seguridad certificada, profundidad de permisos, un modelo de precios que aguante tu volumen de documentos y tu calendario, y un soporte ágil en tu zona horaria. Descarta a quien no supere el piso de SOC 2 e ISO 27001, preselecciona dos o tres, corre una prueba gratuita con tus propios archivos y quédate con el que deja una sala defendible antes, sin un plan que se te quedará corto. Pondera los cuatro criterios según tu perfil, porque una ronda semilla y una escisión regulada los valoran muy distinto.

¿Qué certificaciones de seguridad son imprescindibles?

SOC 2 Type II e ISO 27001 vigentes son el piso para cualquier operación con asesores externos, compradores institucionales o datos regulados. Pide el informe y el alcance del certificado, no una insignia. La forma Type II importa porque comprueba que los controles funcionaron a lo largo de meses, no que existían en papel un solo día. Encima del piso, la residencia de datos se vuelve decisiva según el marco que aplique, por ejemplo LGPD en Brasil, la LFPDPPP en México o el RGPD si tocas datos personales de la UE.

¿Cuánto debería pagar por una sala de datos virtual?

Presupuesta contra el volumen de documentos y el calendario, no contra el precio de portada. El precio de entrada indicativo arranca en torno a 99 USD al mes para salas ligeras, las de mercado medio se sitúan en las cientos de dólares bajas a medias, y los despliegues empresariales se cotizan por operación. Confirma el precio actual en USD con el proveedor, ya que almacenamiento, licencias y excedentes cambian seguido. El modelo de facturación suele pesar más que la cifra: favorece la tarifa plana para calendarios abiertos y reserva el pago por página para lotes chicos y cortos.

¿Cómo afecta la residencia de datos a operaciones en LatAm?

Depende de dónde ocurra la operación y de qué datos toque. Una M&A doméstica en Brasil con datos de clientes cae bajo LGPD y la ANPD; una compra en México con datos de empleados bajo la LFPDPPP; y cualquier ronda o venta con inversores europeos activa las obligaciones de transferencia del RGPD. En todos los casos exige a la sala que puedas fijar la región de alojamiento y exportar el registro de acceso. Trátalo como un criterio de filtrado, no como un detalle a resolver después.

¿Conviene siempre una marca de VDR conocida?

No. Una gran plataforma de nivel bancario suele ser excesiva y cara para una ronda semilla, y una sala ligera puede ser la herramienta equivocada para una escisión regulada transfronteriza. El encaje vence a la reputación: importa más que las fortalezas de la sala coincidan con lo que tu operación exige que cuántas personas reconocen el nombre en la factura. Define primero tu perfil, pondera los cuatro criterios y elige la sala cuyas fortalezas encajen.

¿Cuánto debería durar la evaluación?

Planifica alrededor de una semana. Uno o dos días para filtrar candidatos contra tus innegociables, sobre todo certificación y transparencia de precios, y luego una prueba corta y estructurada de dos o tres salas en paralelo con los mismos documentos reales y la misma evaluación. Eso basta para comparar rapidez de configuración, permisos y respuesta del soporte sin frenar la operación. Alargarlo más suele significar que estás re-litigando una decisión que la evidencia ya tomó.

Una vez elegida, el trabajo se traslada de decidir a ejecutar: dejar la sala en marcha, disciplinada y defendible antes de que llegue la contraparte.

Alinea a tus finalistas por seguridad, funciones y precios en USD una última vez, lee las reseñas prácticas de lo que no pudiste verificar tú, y solo entonces firma.