Transparencia en SaaS: por qué negar sale más caro

Un cliente me escribió un domingo preguntando si su sistema de agendamiento "mandaba datos para fuera". Había visto una noticia sobre televisores que recogían información de quien los mira, y al fabricante respondiendo en video que aquello era desinformación. Su duda no era técnica. Era simple: ¿cómo lo sabría él? Y esa es la pregunta que más falta hace a la hora de contratar cualquier cosa. La transparencia en SaaS no es un sello bonito en el pie de página, es tu capacidad de verificar lo que te dijeron.

Porque el problema del caso de LG no es la recolección en sí. Es el formato de la respuesta.

Qué pasó, en dos líneas

Varios reportajes señalaron que los aparatos recogían más datos del usuario de lo que la gente imaginaba. La empresa salió a decir públicamente que la acusación era falsa.

Solo eso. Una acusación con evidencia de un lado, una negación sin evidencia del otro. Y el consumidor en el medio, teniendo que elegir en quién creer según su intuición.

Por qué "eso es mentira" es la peor respuesta posible

Negar es rápido y barato. Por eso resulta tentador. Pero la negación tiene un problema estructural: no cierra el tema, solo lo empuja hacia adelante.

Cuando una empresa responde a un dato técnico con una declaración institucional, está cambiando el terreno. Salió del "esto es lo que el aparato envía" y se fue al "confía en mí". Quien sigue el tema lo nota al instante. Y quien no lo sigue se queda con esa duda que ya no se va.

La respuesta que cierra el tema es aburrida y específica. Algo así: el aparato envía estos campos, a esta dirección, con esta frecuencia, y lo desactivas aquí. Nadie aplaude. Pero nadie duda tampoco.

La confianza no se declara. Se comprueba con documento, versión y fecha.

Vale para un fabricante de televisores y vale para tu proveedor de CRM.

Esto tiene que ver con tu negocio más de lo que parece

Probablemente no fabricas electrónicos. Pero corres tu negocio sobre seis, ocho, doce herramientas de terceros. Cada una con acceso a algo tuyo.

El CRM tiene el teléfono de tus clientes. La herramienta de email tiene tu base entera. El sistema de atención tiene el historial de conversaciones, que es donde la gente escribe su documento, su dirección y a veces cosas bastante más sensibles. El ERP tiene la facturación. La hoja de cálculo compartida que nadie recuerda quién creó tiene vaya a saber qué.

Ahora la parte incómoda: según la LGPD, quien responde por el dato de tu cliente eres tú. El proveedor es operador, tú eres controlador. Si él filtra los datos, el titular te busca a ti. La ANPD te busca a ti. El proveedor manda un comunicado diciendo que se toma la seguridad muy en serio.

Ya vi a una empresa descubrir, en medio de un incidente, que no tenía idea de dónde estaban alojados sus datos. Lo descubrió junto con el cliente irritado al teléfono.

Cómo exigir transparencia a un proveedor sin volverte pesado

No necesitas auditar a nadie. Necesitas respuestas por escrito. Si el proveedor responde rápido y con documento, buena señal. Si responde con adjetivos, señal amarilla.

Manda estas preguntas por email, no por WhatsApp. Vas a querer el registro después.

• ¿Dónde están los datos, físicamente? País y proveedor. "En la nube" no es una respuesta.
• ¿Quién, dentro de su empresa, puede ver los datos de mis clientes? ¿Existe un log de ese acceso?
• ¿Usan mis datos para entrenar modelos, generar benchmarks o cualquier cosa agregada? Si es así, ¿se puede desactivar?
• Si cancelo mañana, ¿cómo exporto todo y en cuánto tiempo lo borran?
• ¿Cuál fue su último incidente de seguridad y qué cambió después?

Esa última es mi favorita. Toda empresa con más de tres años de camino tuvo algún susto. Quien dice que nunca tuvo nada o es muy nueva, o no está mirando, o está mintiendo. Ninguna de las tres tranquiliza.

Y hay un detalle que casi nadie usa: según la LGPD, el titular puede pedir confirmación del tratamiento y acceso a sus datos. La respuesta completa tiene un plazo de 15 días. Haz ese pedido tú mismo, como si fueras un cliente, a tu propio sistema. Es la prueba más honesta que existe. Si tu operación no logra responder en 15 días sobre ti mismo, no va a lograr responder sobre nadie.

La prueba de la captura de pantalla

Hay una forma perezosa y muy eficiente de evaluar la transparencia: fíjate si puedes sacarle una captura.

Una política clara cabe en una captura. "Los datos están en São Paulo, en el proveedor X, con backup diario y retención de 30 días" entra en una imagen y resuelve una discusión. En cambio, "adoptamos las mejores prácticas del mercado en conformidad con la legislación vigente" no prueba nada y tampoco te sirve para defenderte después.

Aplica esto en tu propia empresa. Abre tu página de privacidad ahora. ¿Responde dónde están los datos, cuánto tiempo se quedan y cómo los borra la persona? ¿O es un texto que alguien copió de otro sitio en 2021 y nadie leyó desde entonces?

Si es la segunda opción, estás en el mismo lugar que el fabricante del video. Solo que todavía no apareció el periodista que lo descubra.

"Pero no tengo tiempo para eso"

Sí lo tienes, y es menos de lo que parece. Una tarde resuelve la primera versión.

Haz una tabla simple con cuatro columnas: herramienta, qué dato accede, dónde está alojada, quién en tu empresa tiene acceso. Rellénala con lo que ya sabes. Van a faltar cosas, y el hueco en sí ya es información valiosa.

Después manda las cinco preguntas de arriba a los tres proveedores que tocan datos de clientes. No hace falta que sean todos. Los tres más críticos resuelven el 80% del riesgo.

Por último, agenda en el calendario una revisión cada seis meses. No porque alguien te vaya a auditar, sino porque las herramientas entran y salen de la operación todo el tiempo y nadie le avisa al área legal.

Esto no es burocracia. Es la diferencia entre responderle a un cliente en diez minutos con un documento y responderle en tres días con un "estamos averiguando".

La parte que da ventaja competitiva

Aquí va mi opinión fuerte: la transparencia se volvió un argumento de venta y casi nadie se dio cuenta.

La mayoría de las empresas todavía trata la privacidad como un costo, una casilla que marcar para no llevarse una multa. Mientras tanto, el cliente se volvió desconfiado. Ya vio una app de linterna pidiendo acceso a los contactos, ya vio un televisor escuchando conversaciones, ya vio un asistente de IA aprendiendo de un documento que no debía. Llega a tu propuesta con la guardia alta.

Quien pone en la propuesta comercial una página que dice exactamente dónde están los datos, quién accede y cómo salen, gana una ventaja que ningún competidor copia rápido. Porque copiarla exige ordenar la casa de verdad.

Es el mismo motivo por el que un restaurante con cocina de vidrio transmite más seguridad. No es que la comida sea mejor. Es que nadie pone vidrio en la cocina si tiene algo que esconder.

Si quieres armar ese mapa de datos y no sabes por dónde empezar, o sospechas que tu operación tiene más herramientas con acceso de las que debería, se puede resolver en una conversación corta. Cuéntame cómo funciona tu operación hoy.

Un cliente me preguntó un domingo si su sistema "mandaba datos para fuera". Su duda no era técnica: era cómo saberlo.

Cuando una empresa responde a un dato técnico con "eso es mentira", no cierra el tema. Solo cambia evidencia por "confía en mí".

Y la confianza no se declara. Se comprueba con documento, versión y fecha.

Vale para un fabricante de televisores y vale para tu proveedor de CRM, porque según la LGPD quien responde por el dato de tu cliente eres tú, no él.

Prueba rápida: abre tu página de privacidad ahora. ¿Dice dónde están los datos, por cuánto tiempo y cómo los borra la persona? Si no puedes sacarle una captura, tampoco sirve para tu defensa.

Si no sabes cuántas herramientas tienen hoy acceso a los datos de tus clientes, ese es un excelente lugar para empezar la conversación.

#LGPD #SaaS #PrivacidadDeDatos #Tecnología #GestiónDeRiesgos