El desafío
PUMA necesitaba un marco estandarizado para evaluar los riesgos asociados a sus proveedores, con tres objetivos claros:
- Identificar los riesgos de TI de cada proveedor.
- Establecer un proceso coherente y repetible.
- Reducir el tiempo y los recursos dedicados a la gestión de proveedores.
La solución
PUMA implementó OneTrust Vendor Risk Management con un proceso "Vendor Check" que incorpora:
- Evaluación y monitoreo de riesgos estandarizados.
- Capacidad de colaboración entre equipos.
- Seguimiento integrado de proveedores para una supervisión continua.
Resultados
Usando la plataforma OneTrust, nuestros equipos pudieron crear un marco claro para evaluar y monitorear los riesgos de los proveedores.
¿Qué significa esto para Chile?
El reto que enfrentó PUMA no es exclusivo de las grandes marcas globales: cualquier empresa chilena que comparte datos personales con proveedores externos -nube, logística, marketing, cobranza- sigue teniendo que cumplir sus obligaciones de protección de datos aunque tercerice la operación. Bajo la Ley 21.719, publicada el 13 de diciembre de 2024 y con fiscalización plena desde el 1 de diciembre de 2026, deberes como notificar brechas y garantizar los derechos ARSOP no desaparecen al trabajar con terceros. Una falla mal gestionada en la cadena de proveedores puede derivar en multas de la Agencia de Protección de Datos Personales, que en infracciones gravísimas llegan hasta 20.000 UTM.
AlayIAtrust aplica en Chile el mismo enfoque que sustenta este caso: una gestión ágil del riesgo de terceros sobre OneTrust. Inventariamos a tus proveedores en el RAT, automatizamos evaluaciones y EIPD cuando el tratamiento lo amerita, y damos al DPO visibilidad continua del riesgo de cada contrato y flujo de datos. Así pasas de evaluaciones manuales y dispersas a un proceso vivo y trazable, que prioriza a los proveedores de mayor riesgo y deja evidencia lista para responder ante la Agencia. El cumplimiento deja de ser un evento puntual y se vuelve una capacidad operativa permanente.
Lección clave: Tercerizar el tratamiento de datos no terceriza tus obligaciones: bajo la Ley 21.719, el riesgo de tus proveedores sigue siendo tu riesgo, y debe gestionarse de forma continua.