Cuando una empresa ecuatoriana evalúa poner IA sobre su documentación, la objeción del comité de compra llega siempre por el mismo lado. No es el precio ni la funcionalidad: es qué pasa con los datos personales que están dentro de esos documentos.
La objeción es correcta. La carpeta que quiere indexar tiene cédulas, direcciones domiciliarias, números de cuenta, historias clínicas, evaluaciones de desempeño y en algunos casos datos de salud. La Ley Orgánica de Protección de Datos Personales lleva vigente desde 2021 y su régimen sancionatorio se aplica desde mayo de 2023, con multas que se calculan sobre el volumen de negocio del ejercicio anterior.
Esta es la lista con la que conviene entrar a esa reunión. No es asesoría legal y no sustituye a su abogado: es lo que hemos visto que pregunta un comité serio y lo que un proveedor debería poder contestar sin dudar.
Primero: usted sigue siendo el responsable
El punto de partida que más se malentiende. Cuando su empresa contrata una plataforma para tratar documentos con datos personales, usted es el responsable del tratamiento y el proveedor es el encargado. Eso no cambia por contratar a nadie.
En la práctica significa tres cosas.
Las decisiones son suyas: qué datos entran, para qué, cuánto tiempo se conservan.
El proveedor solo puede tratarlos siguiendo sus instrucciones, y eso tiene que estar por escrito en un contrato de encargo del tratamiento.
Si el proveedor hace algo indebido, usted responde ante el titular de los datos y ante la Superintendencia. Después podrá repetir contra el proveedor, pero la cara la pone usted.
Por eso la primera pregunta al proveedor no es técnica. Es: ¿tiene un contrato de encargo del tratamiento listo para firmar? Si la respuesta tarda, la conversación se acabó.
Segundo: para qué va a tratar esos datos
La ley pide una base legal para cada tratamiento y una finalidad determinada. Indexar documentos para poder consultarlos internamente no es una finalidad nueva sospechosa: normalmente cae dentro de la misma finalidad para la que ya trata esos datos, sea la relación laboral, la relación contractual o el cumplimiento de una obligación legal.
Donde sí hay que pensar es en tres casos.
Datos sensibles. Salud, biometría, afiliación sindical, entre otros. Una clínica que quiere indexar historias clínicas está tratando datos sensibles y el listón es más alto en todo: base legal, medidas de seguridad y consecuencias de una brecha.
Datos de terceros que no son su cliente ni su empleado. Los datos de contacto de la contraparte en un contrato, por ejemplo. Suelen estar cubiertos por la ejecución del contrato, pero conviene tenerlo pensado antes de que lo pregunten.
Finalidad nueva. Si además de consultar quiere hacer perfilado o decisiones automatizadas sobre personas, eso sí es otra cosa y tiene reglas propias. Un agente que responde preguntas sobre documentos no hace eso. Un sistema que puntúa candidatos, sí.
Tercero: lo que nunca debería entrar al índice
Hay material que no gana nada por estar indexado y multiplica el riesgo si está.
Credenciales. Claves, certificados, llaves privadas, archivos de configuración con secretos. En Ofivia hay una lista de exclusión que bloquea archivos .env, .pem, .key, cualquier nombre que contenga la palabra credencial y las claves privadas antes de que nada se indexe. Es la clase de cosa que debería ser el comportamiento por defecto y conviene preguntarla explícitamente.
Copias completas de bases de datos. Un volcado con la tabla de clientes convierte una consulta en una fuga potencial. Los datos estructurados se consultan desde el sistema que los administra.
Lo que ya debía estar destruido. Expedientes de personas cuyo plazo de conservación venció. Indexar eso es documentar por escrito que lo conservaba de más.
Una revisión de medio día antes de indexar resuelve las tres, y encaja con la revisión de accesos que describimos en gestión documental en la nube para empresas ecuatorianas.
Cuarto: las siete preguntas para el proveedor
Pídalas por escrito. Las respuestas separan a un proveedor que pensó esto de uno que improvisa.
1. ¿Los documentos se usan para entrenar modelos? La respuesta tiene que ser no, y tiene que estar en el contrato, no en una llamada.
2. ¿Dónde se alojan los datos y quién puede acceder físicamente? Si el proveedor le dice que sus datos permanecen en el país, pregunte cómo lo garantiza. La respuesta honesta suele ser que depende de dónde esté el servidor, y que autoalojar es la única forma de que esa decisión sea suya. En Ofivia el nivel Corporativo se instala en su propia infraestructura con un solo comando, y ahí la residencia la decide usted.
3. ¿Cómo está separada mi empresa de las demás? Pida el detalle, no la palabra “aislamiento”. En Ofivia son cuatro capas independientes: cada fila lleva el identificador de la empresa; PostgreSQL aplica seguridad a nivel de fila de forma forzada sobre veintitrés tablas, con el identificador tomado de la sesión verificada y nunca del cuerpo de la petición; la carpeta de cada empresa está en modo 0700 en el sistema de archivos; y el grafo usa un espacio de nombres por empresa.
4. ¿Qué queda registrado y por cuánto tiempo? Debería poder saber quién accedió a qué y qué ejecutó el agente. En Ofivia cada herramienta que ejecuta el agente queda en una bitácora encadenada por hash de la empresa, de modo que alterar el registro a posteriori es detectable.
5. ¿Qué pasa si hay una vulneración? La ley obliga a notificar a la autoridad en un plazo de días, no de semanas, contados desde que se conoce el incidente. Confirme el plazo exacto con su abogado y exija por contrato que el proveedor le avise a usted con tiempo suficiente para cumplirlo. Un contrato que no fija ese plazo lo deja a usted incumpliendo.
6. ¿Cómo se ejerce el derecho de supresión? Cuando una persona pide que borren sus datos, usted tiene que poder hacerlo, incluido lo que esté en el índice de búsqueda. Pregunte cuánto tarda y qué queda.
7. ¿Qué me llevo si me voy? Formato y plazo. La portabilidad es un derecho del titular y también un requisito práctico suyo.
Quinto: lo que un proveedor honesto le va a decir que no tiene
Este apartado es el que le va a ahorrar tiempo, así que lo escribimos de nuestro lado.
No tenemos ninguna certificación de seguridad emitida por un tercero, ni una auditoría externa, ni un certificado de cumplimiento de la LOPDP. Lo último no lo tiene nadie, porque no existe una certificación oficial de cumplimiento de esa ley: existe la obligación de cumplirla y la responsabilidad de demostrarlo.
Lo que sí tenemos es verificable y se lo podemos enseñar en una llamada: el aislamiento en cuatro capas descrito arriba, contraseñas con argon2, revocación inmediata de todas las sesiones al cerrar sesión, secretos de empresa cifrados en base de datos que ningún endpoint devuelve, ejecución de código en contenedores sin red y con capacidades eliminadas, respaldos diarios con retención, y una batería de pruebas dedicada a intentar cruzar el límite entre empresas que corre en cada cambio.
Si su comité exige un certificado de un tercero, hoy no lo tenemos, y decirlo en la primera reunión le ahorra dos.
La lista corta para el lunes
Cinco cosas, en orden, y ninguna necesita presupuesto.
- Liste qué carpetas contienen datos personales y cuáles contienen datos sensibles.
- Revise quién tiene acceso hoy a cada una. La lista completa, con nombres. Esa lista es la que aprueba el proyecto.
- Saque del alcance credenciales, volcados de base de datos y expedientes cuyo plazo venció.
- Pida al proveedor las siete respuestas de arriba por escrito.
- Haga revisar el contrato de encargo del tratamiento por su abogado antes de subir el primer archivo, no después.
El detalle técnico de las cuatro capas de aislamiento, de qué se registra y de lo que todavía no hacemos está en la página de seguridad. El contrato de encargo del tratamiento, con las obligaciones concretas que asumimos como encargados, está en la página de tratamiento de datos para que lo lea su abogado antes de la primera reunión.