Necesitas preparar el cumplimiento normativo para un proceso de due diligence tecnológica

¿Tienes razón?

Cuando te piden una due diligence tecnológica no es una acusación: es un listado de comprobaciones. Lo que va a decidir si el informe sale favorable es la existencia y calidad de tres tipos de elementos: 1) documentación que demuestre cómo tratás los datos (políticas, registros, consentimientos), 2) evidencia técnica de seguridad (backups, controles de acceso, pruebas de penetración, gestión de incidentes) y 3) contratos que asignen responsabilidades (con proveedores en la nube, desarrolladores y clientes). Si esos tres bloques están ordenados y accesibles, la operación avanza; si faltan o son contradictorios, el comprador abre partidas de ajuste y puede pedir garantías. Además cuenta la trazabilidad: versiones, responsables y pruebas fechadas que demuestren que lo que figura en papel se aplica en la práctica.

Cómo se soluciona

1) Mapear actividades y flujos. Hacé un inventario de sistemas, datos personales y funciones críticas: quién accede, dónde se almacena, transferencias a terceros, y si hay subcontratistas. Exportá los listados desde las plataformas (bases de datos, proveedores en la nube) y anexá capturas o logs que muestren propietarios y ubicaciones.

2) Reunir la documentación clave. Buscá: políticas de privacidad y de seguridad; registros de tratamiento; contratos con proveedores que procesan datos; acuerdos sobre niveles de servicio (SLA); documentación de copias de seguridad; planes de continuidad de negocio; y evidencias de formación en seguridad. Si falta algo, arreglá un borrador firmado internamente por el responsable y un acta de implementación.

3) Verificar consentimiento y bases legales. Localizá formularios, cláusulas contractuales y comprobantes de aceptación (emails, formularios web exportados). Exportá conversaciones relevantes desde sistemas de mensajería interna o CRM: no dejes las pruebas solo en la cabeza de quien las dio.

4) Auditoría técnica mínima. Solicitá a tu equipo de TI pruebas de acceso y control: lista de usuarios con privilegios, logs de autenticación, registros de parches aplicados y evidencias de auditorías o tests de penetración. Si no tenés tests recientes, hacé un scan básico y documentalo.

5) Contratos y asignación de riesgos. Reuní los contratos con proveedores críticos (nube, hosting, integradores). Anotá cláusulas sobre subcontratación, confidencialidad, seguridad y responsabilidad por incidentes. Si los contratos son verbales, documentá por escrito la relación y fechas de inicio/servicios prestados.

6) Preparar un dossier para el comprador. Armá un índice claro: inventario, políticas, evidencias técnicas, contratos, y un resumen de riesgos abiertos con las medidas correctivas propuestas. Adjuntá contactos técnicos y legales para consultas.

7) Qué puede hacer cada quien. Vos podés recopilar correos, exportar configuraciones y pedir a TI los logs. Para revisar contratos o redactar cláusulas de salvaguarda conviene contar con un abogado especializado en tecnología que traduzca riesgos jurídicos a términos comerciales.

Qué puede pasar

1) Se arregla con documentación adicional. Lo más frecuente es que el comprador pida evidencia puntual y que la operación continúe tras aclaraciones o una lista de acciones a completar. A veces un informe técnico o una certificación limitada cierra la cuestión.

2) Acuerdo con ajustes o garantías. Si aparecen riesgos, el comprador puede proponer retenciones, indemnizaciones o garantías contractuales. Esa propuesta suele ser negociable: aceptar una retención por un problema concreto puede ser preferible a renegociar todo el precio, porque resuelve rápido y evita litigios largos.

3) La operación se frena o hay litigio. Si el hallazgo es grave (incumplimiento de protección de datos masivo, vulnerabilidades explotadas sin corrección) el comprador puede abortar la operación o iniciar vías legales. Si llegás a juicio, el resultado depende de la prueba y de la solvencia del adquirente para ejecutar eventuales sentencias. Incluso ganando, cobrar contra una entidad insolvente es incierto.

Y si ganás, ¿cobrás? Una sentencia favorable es útil, pero si la contraparte no tiene bienes liquidados, cobrar puede ser complejo. Por eso en transacciones la solución práctica suele ser una combinación de ajustes contractuales y garantías reales o retenidas.

Errores que arruinan el caso

• Esperar a que te pidan algo: no reunir la documentación a último momento obliga a producir parches y genera desconfianza.
• Entregar pruebas sin contexto: logs crudos sin explicación confunden y parecen evidencia de fallas.
• Subestimar a los proveedores: no identificar subprocesadores deja vacíos de responsabilidad.
• No versionar políticas: cambiar una política sin conservar la anterior destruye la trazabilidad.
• Firmar cláusulas de indemnización sin consultar: podés asumir responsabilidades ilimitadas que después no puedas cumplir.