El desafío
Los requisitos de cumplimiento del GDPR dejaron al descubierto procesos manuales y fragmentados en Vanquis:
- Falta de un repositorio unificado de registros de tratamiento de datos.
- Ausencia de flujos de trabajo automatizados para solicitudes de acceso o eliminación de datos.
- Sin visibilidad centralizada sobre los terceros que manejan datos.
- Dificultad para cumplir los requisitos regulatorios y gestionar los riesgos legales.
La solución
Vanquis implementó OneTrust con cuatro módulos clave, en un proyecto liderado por su Analista de Protección de Datos junto al CISO y el equipo de cumplimiento:
- Data Mapping — rastrear los datos personales en toda la organización.
- Assessment Automation — automatizar las evaluaciones de impacto en privacidad.
- Data Subject Rights Automation — agilizar las solicitudes de los titulares.
- Third-Party Risk Management — monitorear a los proveedores que manejan datos.
Resultados
- Reportes automatizados y auditables que mejoran la eficiencia.
- Trazabilidad completa de los datos personales (clientes, empleados y proveedores).
- Gestión eficiente de los derechos de los titulares con flujos de trabajo claros.
- Evaluaciones de impacto centralizadas que reducen el riesgo y la inconsistencia.
OneTrust fue seleccionado por su enfoque de negocio, su diseño intuitivo, su adaptabilidad y su transparencia auditable a nivel de toda la empresa.
¿Qué significa esto para Chile?
Vanquis, como banco, enfrentaba el reto de gobernar el consentimiento, evaluar el riesgo de proveedores y documentar decisiones de privacidad a escala. Las organizaciones chilenas viviran algo parecido bajo la Ley 21.719: publicada el 13 de diciembre de 2024 y con fiscalizacion plena desde el 1 de diciembre de 2026 por la Agencia de Proteccion de Datos Personales. La ley exige mantener un registro de actividades de tratamiento (RAT), realizar evaluaciones de impacto (EIPD), designar un delegado de proteccion de datos (DPO) y cumplir el deber de notificar brechas, con multas que llegan hasta 20.000 UTM en las infracciones gravisimas.
AlayIAtrust aplica en Chile el mismo enfoque que sostiene a casos internacionales como este: convertir la privacidad en un proceso operativo, no en un papel. Con OneTrust implementamos el RAT, automatizamos las EIPD, gestionamos el ciclo de consentimiento y la evaluacion de proveedores, y habilitamos el flujo para responder los derechos ARSOP y notificar brechas. Asi una empresa chilena llega al 1 de diciembre de 2026 con evidencia trazable, riesgo de terceros bajo control y una base lista para escalar a medida que crece su tratamiento de datos.
Lección clave: Leccion clave: la privacidad madura no se demuestra con documentos sueltos, sino con procesos automatizados y trazables; eso es lo que la Ley 21.719 exigira en Chile.