El desafío
Los requisitos de cumplimiento del GDPR dejaron al descubierto procesos manuales y fragmentados en Vanquis:
- Falta de un repositorio unificado de registros de tratamiento de datos.
- Ausencia de flujos de trabajo automatizados para solicitudes de acceso o eliminación de datos.
- Sin visibilidad centralizada sobre los terceros que manejan datos.
- Dificultad para cumplir los requisitos regulatorios y gestionar los riesgos legales.
La solución
Vanquis implementó OneTrust con cuatro módulos clave, en un proyecto liderado por su Analista de Protección de Datos junto al CISO y el equipo de cumplimiento:
- Data Mapping — rastrear los datos personales en toda la organización.
- Assessment Automation — automatizar las evaluaciones de impacto en privacidad.
- Data Subject Rights Automation — agilizar las solicitudes de los titulares.
- Third-Party Risk Management — monitorear a los proveedores que manejan datos.
Resultados
- Reportes automatizados y auditables que mejoran la eficiencia.
- Trazabilidad completa de los datos personales (clientes, empleados y proveedores).
- Gestión eficiente de los derechos de los titulares con flujos de trabajo claros.
- Evaluaciones de impacto centralizadas que reducen el riesgo y la inconsistencia.
OneTrust fue seleccionado por su enfoque de negocio, su diseño intuitivo, su adaptabilidad y su transparencia auditable a nivel de toda la empresa.
¿Qué significa esto para Chile?
Vanquis, como banco, enfrentaba el reto de gobernar el consentimiento, evaluar el riesgo de proveedores y documentar decisiones de privacidad a escala. Las organizaciones chilenas vivirán algo parecido bajo la Ley 21.719: publicada el 13 de diciembre de 2024 y con fiscalización plena desde el 1 de diciembre de 2026 por la Agencia de Protección de Datos Personales. La ley exige publicar qué datos se tratan y con qué base, realizar evaluaciones de impacto (EIPD) en los tratamientos de alto riesgo y reportar las brechas de seguridad, con multas que llegan hasta 20.000 UTM en las infracciones gravísimas. Un registro de actividades de tratamiento (RAT) y un delegado de protección de datos (DPO) no son obligatorios como regla general, pero son la forma habitual de sostener ese cumplimiento.
AlayIAtrust aplica en Chile el mismo enfoque que sostiene a casos internacionales como este: convertir la privacidad en un proceso operativo, no en un papel. Con OneTrust implementamos el RAT, automatizamos las EIPD, gestionamos el ciclo de consentimiento y la evaluación de proveedores, y habilitamos el flujo para responder los derechos ARSOP y notificar brechas. Así una empresa chilena llega al 1 de diciembre de 2026 con evidencia trazable, riesgo de terceros bajo control y una base lista para escalar a medida que crece su tratamiento de datos.
Lección clave: la privacidad madura no se demuestra con documentos sueltos, sino con procesos automatizados y trazables; eso es lo que la Ley 21.719 exigirá en Chile.