La solicitud y su alcance

Antes de pedir evidencia hay que saber en qué papel está cada parte, porque de eso depende qué se le puede exigir. En la ley colombiana de protección de datos personales (Ley 1581 de 2012, artículo 3) el Responsable es quien decide sobre la base de datos y su tratamiento, y el Encargado es quien realiza el tratamiento por cuenta del Responsable. Cuando el Responsable le entrega datos a un tercero para que los trate en su nombre, el contrato que los une fija el alcance del tratamiento y las obligaciones del Encargado (Decreto 1074 de 2015, artículo 2.2.2.25.5.2). Esto es formación, no asesoría legal: sirve para saber qué preguntas hacer y cuándo llevar el caso a Legal.

Tesela no pide los datos para sus propios fines: los usaría para entregarle a Altamira un servicio de detección de fraude.

La solicitud trae una lista de catorce campos de la base de reclamaciones. Un due diligence no empieza por la certificación del proveedor: empieza por el alcance. Lo mínimo es contrastar lo que pide con lo que su propio servicio necesita, porque cada campo de más es riesgo que Altamira entrega sin que nadie lo necesite. La ficha técnica del modelo, que entregó el propio proveedor, dice qué campos usa.

Revisa los datos pedidos y cruza la columna de uso con la categoría. Con datos de salud, el listón es más alto.

La política de terceros de Altamira clasifica a cada proveedor por lo que toca, no por su tamaño ni por la urgencia del patrocinador. Los niveles tienen criterios escritos y cada uno exige un paquete de evidencia distinto. Se aplica el nivel más alto cuyo criterio se cumpla. Lee la solicitud y la política y decide: de esa clasificación depende todo lo que se le va a pedir a Tesela y lo que se va a aceptar como respuesta.

Para el nivel que decidiste, la política enumera los documentos que debe traer el proveedor. Tesela ha enviado un paquete y el patrocinador lo da por completo. Compara lo exigido con lo recibido, documento por documento, y anota lo que no llegó. Un documento que no llegó no se sustituye con una frase en el cuestionario.