Tu proveedor también maneja tus datos
Cuando pensamos en protección de datos, casi siempre miramos hacia adentro: la política publicada en la página web, el aviso de privacidad, el formato de autorización. Pero buena parte de los datos que tu empresa recoge no se quedan en tu empresa. Van al contact center que atiende tus llamadas, a la agencia que envía tus correos de mercadeo, a la empresa de mensajería que entrega tus pedidos, al proveedor de nube donde vive tu CRM.
Ese es el eslabón que casi nadie revisa. Y es exactamente hacia donde la SIC está mirando: cuando investiga una queja por uso indebido de datos, no le importa si la falla ocurrió en tus sistemas o en los de tu proveedor. El titular del dato te lo entregó a ti, y ante la Superintendencia de Industria y Comercio, la primera puerta que suena es la tuya.
"Tu política de datos puede ser impecable. Si tu proveedor filtra la base, la sanción te llega a ti."
Responsable y encargado: quién responde por qué
La Ley 1581 de 2012 distingue dos roles. El responsable del tratamiento es quien decide sobre los datos: para qué se recogen, cómo se usan, cuándo se eliminan. Casi siempre, ese eres tú. El encargado es quien trata los datos por cuenta del responsable: tu contact center, tu agencia, tu proveedor tecnológico.
La distinción importa porque el responsable no se libera de sus deberes por tercerizar. Al contrario: la ley espera que le exijas al encargado las mismas garantías que tú debes cumplir. Si le entregas datos a un tercero sin un contrato que regule ese tratamiento, la exposición es doble — respondes por lo tuyo y por lo del proveedor.
El anexo de tratamiento de datos: la solución simple
La buena noticia es que cubrir esta exposición no exige renegociar cada contrato desde cero. Basta con un anexo de tratamiento de datos: un documento corto que se firma junto al contrato principal —o se agrega a los ya vigentes mediante un otrosí— y que deja las reglas claras. Un buen anexo cubre al menos esto:
- Instrucciones de uso. El proveedor solo puede tratar los datos para prestar el servicio contratado. Nada de usarlos para sus propios fines comerciales.
- Medidas de seguridad. Compromisos concretos de protección: acceso restringido, cifrado donde aplique, personal capacitado.
- Aviso de incidentes. Si hay una fuga o un acceso indebido, el proveedor debe avisarte de inmediato — no cuando le convenga.
- Subcontratación controlada. Si tu proveedor a su vez terceriza, necesitas saberlo y las mismas obligaciones deben bajar por la cadena.
- Devolución o eliminación. Al terminar el contrato, los datos vuelven a ti o se destruyen con constancia. No se quedan "por si acaso".
Por dónde empezar
No necesitas cubrir a los cincuenta proveedores el mismo día. Empieza por los que manejan más datos o datos más sensibles: quien opera tu servicio al cliente, quien aloja tus sistemas, quien ejecuta tus campañas. Con un anexo estándar bien redactado, cubrir a los cinco o diez proveedores críticos es cuestión de semanas, no de meses.
"En protección de datos, la cadena se rompe por el eslabón que nadie revisó."
En Guillermo García & Asociados preparamos anexos de tratamiento de datos que las empresas medianas pueden reutilizar con toda su cadena de proveedores. Si quieres saber qué tan expuesta está la tuya, escríbenos: en una llamada de 30 minutos revisamos contigo tus tres relaciones más críticas.
