Tu proveedor de software ve toda tu operación: qué preguntarle sobre seguridad

1Dónde está tu información

Empieza por lo más simple. Pregunta si los datos de tu empresa viven separados de los de los otros clientes del proveedor, o si todos están en la misma tabla con una columna que dice de quién es cada fila. Las dos cosas se pueden hacer bien, pero no son lo mismo, y la respuesta te dice cuánto pensó ese equipo en el problema.

Pregunta después si alguien, desde el navegador, puede cambiar la empresa que está consultando. Y si tu grupo tiene tres razones sociales, si una ve a la otra por defecto o hay que habilitarlo. Una buena respuesta te explica el mecanismo, o sea cómo viaja la identidad de tu empresa en cada consulta y por qué no se puede alterar desde afuera. Una mala respuesta es «tranquilo, eso está aislado».

Hay una obligación que no se traslada firmando. Los datos de tus clientes y de tus empleados que viven en ese sistema son datos personales, y bajo la Ley 1581 de 2012 tu empresa es la responsable del tratamiento; el proveedor es el encargado, que trata esos datos por cuenta tuya. Si a él le pasa algo, quien responde ante la Superintendencia de Industria y Comercio y ante tus clientes es tu empresa. Por eso las siete preguntas de este artículo no son curiosidad.

Ley Estatutaria 1581 de 2012, artículo 3 (definiciones de Responsable y Encargado del Tratamiento), en el Gestor Normativo de la Función Pública. Consultada el 20 de septiembre de 2026.

2Quién del proveedor puede entrar, y si queda rastro

Esta es la que incomoda, y por eso conviene hacerla temprano en la reunión, cuando todavía hay tiempo de que alguien vaya a averiguar. Averigua si hay personas del proveedor con usuario dentro de tu plataforma, cómo entran cuando necesitan darte soporte, cuántas pueden hacerlo y si tú tienes que autorizarlo cada vez.

La respuesta ideal no es «nadie ve su información». No ocurre en ningún software del mundo. Alguien tiene que poder entrar el día que una factura electrónica se queda trabada y el auxiliar de cartera lleva dos horas llamando. La respuesta buena tiene cuatro partes: existe un acceso técnico reservado, está limitado a pocas personas, se usa cuando el cliente lo pide, y cada uso queda registrado con nombre y hora. La cuarta es la que importa, y va con una pregunta de remate. Ese registro, ¿lo puedes consultar tú, o hay que pedírselo a ellos?

Vale la pena hacer el ejercicio completo con un caso que te va a pasar. Se cae la facturación un jueves de quincena. Llamas, alguien del proveedor entra a mirar y a las dos horas el sistema vuelve. Pregunta qué quedó escrito de esas dos horas. Quién entró, a qué hora, qué consultó y si tocó algo. Pide ver esa pantalla en la demo, con un caso viejo de otro cliente anonimizado si hace falta. Un proveedor que lleva ese registro te lo enseña en treinta segundos; uno que no lo lleva te explica por qué no hace falta.

Hay una variante que en Colombia pesa. Qué pasa cuando el que entra no es el proveedor sino un tercero contratado por él. Soporte tercerizado, un consultor de implementación, la empresa que hace el desarrollo a la medida. Pregunta si esos terceros tienen acceso, bajo qué contrato, y si aparecen en el mismo registro con nombre propio o entran con un usuario compartido que dice «soporte».

3Permisos dentro de tu empresa

El riesgo no siempre viene de afuera. Acá una lista es lo natural, porque son cinco cosas sueltas y cada una se contesta con un sí o un no:

• Si los permisos se dan por módulo o por acción. Ver, crear y aprobar son tres cosas distintas.
• Si puedes limitar a alguien a una sola sede.
• Qué pasa con la sesión que dejó abierta la persona que despediste esta mañana.
• Si puedes exigir dos personas para mover dinero, de modo que quien arma el lote de pagos a proveedores no sea quien lo aprueba, y a partir del monto que tú decidas.
• Si el registro de quién aprobó un pago, quién cambió un precio y quién modificó una nómina se puede editar.

4Qué hace la inteligencia artificial con tus datos

Es la parte nueva y donde las respuestas son más vagas. La pregunta central es si se entrena algún modelo con la información de tu empresa, y hay que hacerla dos veces, porque hay dos proveedores en la cadena, el del software que estás comprando y el del modelo que ese software usa por debajo. Una media respuesta contesta por uno y calla por el otro. Pide que te muestren dónde está escrito, y cómo se verifica está contado en ¿entrenan la IA con los datos de tu empresa?.

Las otras tres son más cortas. Qué puede ejecutar la inteligencia artificial sin preguntarte —si puede pagar, facturar o cambiar un precio—, si puedes poner tu propia llave del proveedor del modelo para que las consultas pasen por tu cuenta y bajo tu contrato, y si puedes ver cuánto se consumió y quién lo consumió.

5Hasta cuándo atrás puedes volver

En respaldos todos contestan que sí, que hay copias. La que separa es otra, y es hasta cuándo atrás puedes volver. Cada cuánto se respalda, hasta qué momento del pasado se restaura, si las copias están en un solo lugar o replicadas en otra región, y si alguien tiene que acordarse de hacerlas.

Y hay una que no es la misma y le importa más a tu contador. Cómo consulta él, solo y sin llamar a nadie, cómo estaba la cartera el 30 de junio. Restaurar un respaldo es una operación de emergencia que devuelve el sistema entero a una fecha; consultar la historia es algo que él hace un martes cualquiera cuando la revisoría pregunta. Entre poder volver al estado de ayer y poder volver al de hace tres meses hay una distancia enorme. Pide que esa fecha quede escrita en el contrato, porque en la propuesta rara vez aparece.

6Pruebas, cifrado y dónde viven los datos

Tres preguntas cortas y una larga. Las cortas, si tienen un ambiente de pruebas separado de producción con servidores y datos distintos, si un cambio llega a producción porque alguien lo aprobó o porque alguien lo subió, y si la información viaja cifrada y se guarda cifrada.

La larga es de quién son las certificaciones que te están mostrando. Es común que un proveedor enseñe las certificaciones internacionales de la nube sobre la que corre. Son del proveedor de nube y dicen que el centro de datos está bien hecho; no dicen nada sobre el software que te están vendiendo. No es un engaño, pero tampoco es lo mismo, y tienes derecho a preguntar cuál es cuál. Pregunta también en qué país están alojados tus datos, que es un dato y no una opinión.

7Y cuando algo pase

Si hay un canal para reportar un problema de seguridad, qué te van a contar si les pasa algo y en cuánto tiempo, y qué ocurre con tu información el día que termine el contrato. Tres renglones en el contrato, y son los que se leen el día malo.

Cómo responde Mavox

Cada empresa y cada sede viven en su propio espacio, la identidad de tu empresa viaja con cada petición y no se puede cambiar desde el navegador, y en un grupo una razón social no ve a la otra salvo que tú lo habilites. Ninguna persona de Mavox tiene cuenta dentro de tu empresa. Hay un acceso técnico reservado, limitado a un equipo pequeño, que se usa cuando tú lo pides y deja registro con nombre y hora. Los permisos van acción por acción y sede por sede, y quien se va pierde el acceso en el acto.

Ningún modelo se entrena con la información de tu empresa, ni el nuestro ni el de los proveedores de los modelos, y puedes poner tu propia llave para comprobarlo tú mismo. Los respaldos son automáticos y continuos, y puedes restaurar a cualquier momento de los últimos siete días, con copias replicadas en una segunda región. Corremos sobre Microsoft Azure, con tus datos alojados en Estados Unidos; la seguridad física y de infraestructura está a cargo de Microsoft, bajo sus certificaciones, que son de ellos y no nuestras. El detalle de todo esto, con lo que todavía no tenemos, vive en seguridad.

Cómo leer las respuestas

Una regla sirve para las siete. Mecanismo, no adjetivo. «Su información está segura» no dice nada. «Cada uso del acceso técnico queda registrado con nombre y hora, y usted lo puede consultar» sí, porque se ve en una pantalla o se lee en un contrato. Y no esperes perfección. Un proveedor que te dice qué no tiene todavía y cuándo lo va a tener es mejor señal que uno que responde a las siete que sí.