Cada proveedor toca datos personales. Que quede evaluado, no supuesto
Un registro de proveedores, y una ficha que centraliza todo lo que se sabe de cada uno
El módulo Gestión de terceros documenta a los proveedores y encargados que participan en tratamientos de datos personales — desde su razón social y rubro hasta su relación contractual, sus tratamientos asociados y su historial de evaluaciones. Cada tercero tiene una ficha única con ocho pestañas, algunas editables y otras de solo lectura porque consolidan información que pertenece a otro módulo.
Sobre esa ficha se pueden abrir una o varias evaluaciones independientes — un checklist estructurado de 23 controles que arroja un puntaje, un resultado y un nivel de riesgo. El estado y la criticidad que se ven en el listado general no se editan a mano: se calculan a partir de la evaluación más reciente y de los RAT vinculados.
La Ley 21.719 hace responsable a la organización de los datos que trata un tercero en su nombre, sea como encargado o como subencargado. Contratar un proveedor sin evaluar sus garantías de seguridad, sin un contrato o DPA vigente, o sin trazabilidad de a quién ese proveedor subcontrata, deja a la organización sin cómo demostrar que ejerció control sobre esa cadena.
Este módulo estructura esa demostración: qué se evaluó de cada tercero, con qué resultado, bajo qué instrumento contractual, y con qué subencargados — información que la organización debe poder exhibir si la Agencia de Protección de Datos audita a un proveedor específico.
Un listado filtrable, con el estado y la criticidad siempre a la vista
El módulo abre con el listado de terceros registrados, filtrable por razón social, RUT, industria, país y estado. Cada fila resume razón social, rubro, país, estado, criticidad y número de RAT vinculados, con accesos directos a evaluaciones, detalle, edición o eliminación sin salir del listado.
- Crear un tercero nuevo solo pide los datos esenciales — el resto se completa desde la ficha
- La columna RAT adelanta cuántos tratamientos ya dependen de ese proveedor
Información propia, y datos que solo se reflejan desde su módulo de origen
La ficha organiza al tercero en ocho pestañas: Información, Relación contractual, Tratamientos, TIA, Riesgos e incidentes, Subencargados, Documentos y Logs. Las tres primeras y Documentos se editan directamente; TIA, Riesgos e incidentes y Logs son de solo lectura porque consolidan lo que ya existe en otros módulos.
- Un aviso explícito distingue qué pestañas son editables y cuáles son solo un reflejo
- El encabezado repite estado, criticidad, RUT, fecha de creación y RAT vinculados en toda la ficha
Gobernanza, seguridad técnica y relación contractual, control por control
Cada evaluación despliega 23 controles agrupados en tres bloques — Gobernanza y cumplimiento normativo, Medidas de seguridad técnicas, y Relación contractual y subencargo — cada uno con su propio estado, evidencia y comentario. El encabezado muestra en vivo el avance, el puntaje preliminar, el resultado y el riesgo mientras se responde el checklist.
- Controles como GOV-01 (política de protección de datos), SEC-02 (gestión de accesos) o CON-04 (subencargados autorizados) cubren todo el ciclo del proveedor
- La barra inferior cuenta los controles pendientes hasta que la evaluación puede completarse
Cada evaluación queda registrada; la más reciente manda
El historial de evaluaciones del tercero lista fecha, evaluador, estado, puntaje, resultado, riesgo y próxima revisión de cada evaluación completada. El estado y la criticidad que se muestran en el listado general de terceros se toman siempre de la evaluación completada más reciente — las anteriores no se eliminan, quedan como evidencia de la evolución del proveedor.
- La próxima revisión programada permite anticipar reevaluaciones antes de que el proveedor cambie de riesgo
- El puntaje y el riesgo se calculan del checklist, no se ingresan como una apreciación aparte
El proveedor de su proveedor, también queda vinculado
La pestaña Subencargados permite vincular a otros terceros ya registrados como subcontratados del proveedor evaluado, con su servicio y estado. Junto con las pestañas Riesgos e incidentes y TIA — ambas de solo lectura — la ficha deja visible toda la cadena de responsabilidad detrás de un mismo tercero, sin salir de su registro.
- Vincular un subencargado no duplica su ficha — apunta al tercero ya existente en el módulo
- El Repositorio documental y el log inmutable cierran el expediente con respaldos y trazabilidad
Lo que preguntan sobre Gestión de terceros
¿El estado y la criticidad del tercero se editan a mano?
No. El estado se toma de la evaluación completada más reciente, y la criticidad se calcula automáticamente usando la mayor criticidad de los RAT vinculados al tercero. Las evaluaciones anteriores no se pierden — quedan disponibles como historial.
¿Qué mide el checklist de la evaluación?
23 controles agrupados en tres dominios: Gobernanza y cumplimiento normativo (GOV), Medidas de seguridad técnicas (SEC) y Relación contractual y subencargo (CON). Cada control se responde con un estado, evidencia y comentario, y el encabezado muestra el avance, el puntaje preliminar, el resultado y el riesgo mientras se completa.
¿Por qué las pestañas TIA y Riesgos e incidentes son de solo lectura?
Porque esa información pertenece a otros módulos. La pestaña TIA muestra las evaluaciones de transferencia internacional ligadas a los RAT del tercero, y Riesgos e incidentes consolida lo que ya existe en Gestión de riesgos e Incidentes. Editar esos registros se hace desde su módulo de origen, no desde la ficha del tercero.
¿Qué son los subencargados vinculados?
Son los terceros que a su vez subcontrata el proveedor evaluado — la cadena de subencargo que exige la Ley 21.719 cuando un encargado delega parte del tratamiento. Se vinculan desde la propia ficha, seleccionando otro tercero ya registrado en el módulo.
¿Qué diferencia hay entre 'Relación contractual' y 'Tratamientos'?
Relación contractual documenta el contrato o DPA con el tercero — número, modalidad, fechas y estado del instrumento — con una advertencia explícita de que su validez legal debe revisarla el área legal. Tratamientos vincula los RAT donde participa el tercero y su rol en cada uno, que es lo que determina su criticidad.
¿El log de la ficha se puede editar o borrar?
No. Es una bitácora inmutable y ordenada cronológicamente, generada automáticamente por el sistema cada vez que se modifica la ficha o sus relaciones — con autor y fecha de cada evento, sin intervención manual posible.