¿Quién es el verdadero propietario de tus datos de seguridad? (Y por qué es importante a la hora de cambiar de proveedor) 

A la hora de evaluar las plataformas de gestión del personal de seguridad, la mayoría de las empresas se centran en las funciones, los precios y la experiencia del usuario. Sin embargo, hay un factor fundamental que a menudo se pasa por alto hasta que es demasiado tarde: la titularidad de los datos.  

El lugar donde se almacenan tus datos de seguridad, quién los controla y la facilidad con la que puedes acceder a ellos no son solo detalles técnicos, sino decisiones estratégicas que podrían determinar si tu empresa mantiene la continuidad operativa o se enfrenta a una interrupción catastrófica de su actividad. 

¿Quién es realmente el propietario de tus datos de seguridad cuando utilizas software en la nube? 

He aquí una pregunta que pilla desprevenidos a muchos directores de seguridad: si utilizas una plataforma de gestión del personal de seguridad basada en la nube, ¿quién es el propietario legal de los informes de incidentes, los registros de patrullas, los expedientes de los empleados y la información de los clientes almacenados en ese sistema? 

La respuesta no es tan sencilla como podría pensarse. La titularidad de los datos y el alojamiento de los mismos son dos conceptos fundamentalmente diferentes que la mayoría de las empresas confunden. Cuando se alojan datos en la plataforma en la nube de un proveedor, normalmente se obtiene una licencia para utilizarlos y acceder a ellos, pero el proveedor suele conservar un control significativo sobre cómo se almacenan y procesan esos datos y, lo que es más importante, cómo se exportan. 

Esta distinción es importante. La verdadera titularidad de los datos significa que tienes derechos ilimitados sobre tus datos en un formato que realmente puedas utilizar. Significa que puedes extraer todos los informes de incidentes, todos los controles de patrulla con marca de tiempo, todos los registros de certificación de los empleados y todas las comunicaciones con los clientes sin restricciones, sin pérdida de calidad ni control por parte del proveedor. 

Muchos proveedores de software de seguridad afirman que «tú eres el propietario de tus datos», pero al mismo tiempo hacen que resulte casi imposible exportarlos en un formato completo y utilizable. Es posible que ofrezcan funciones de exportación limitadas —quizá informes de incidentes en formato PDF o listas de empleados en CSV—, pero ¿una extracción exhaustiva de datos que incluya conexiones relacionales, campos personalizados, revisiones históricas y metadatos del sistema? Eso suele ser otra historia completamente diferente. 

Antes de firmar cualquier contrato, infórmate sobre el marco legal que rige tus datos. Revisa detenidamente las condiciones del servicio. ¿Establece el acuerdo de forma explícita que conservas la plena titularidad? ¿Puedes rescindir la relación y recibir una exportación completa de los datos en un plazo razonable? ¿En qué formato estarán esos datos? ¿Necesitarás la ayuda del proveedor para interpretarlos? 

¿Qué ocurre cuando se cambia de proveedor de servicios de seguridad? 

Es aquí donde la titularidad de los datos cobra una importancia fundamental, y se trata de una situación para la que muchas empresas no están en absoluto preparadas. 

Imaginemos esta situación habitual: un hospital lleva cinco años trabajando con la empresa de seguridad A. Durante ese tiempo, la empresa de seguridad A ha utilizado su plataforma de gestión de personal para documentar miles de incidentes: emergencias médicas, disputas con visitantes, incidentes relacionados con el aparcamiento, denuncias de robos, casos de violencia en el lugar de trabajo y vulnerabilidades de seguridad. Todos estos datos se han registrado, clasificado y almacenado meticulosamente en la plataforma de la empresa de seguridad A. 

Ahora ha llegado el momento de renovar el contrato de seguridad del hospital. Tras un proceso de licitación, se decide adjudicar el contrato a la empresa de seguridad B, que utiliza una plataforma de gestión de personal totalmente diferente. El director de seguridad del hospital da por hecho que mantendrán el acceso a esos cinco años de registros de incidentes, datos de patrullas e información de seguridad. Al fin y al cabo, esos incidentes tuvieron lugar en sus instalaciones, afectaron a su personal y a sus visitantes, y constituyen un conocimiento institucional fundamental. 

Pero aquí está el problema: esos datos se almacenan en la plataforma del proveedor de la empresa de seguridad A. Cuando la empresa de seguridad A pierde el contrato, ¿qué ocurre con los datos? En muchos casos, la respuesta es devastadora: el hospital pierde por completo el acceso a ellos. 

No se trata de una situación hipotética. Ocurre con frecuencia en todos los sectores. Un complejo empresarial cambia de proveedor de seguridad y pierde tres años de datos sobre la evolución de los incidentes que servían de base para su estrategia de seguridad. Una universidad cambia de proveedor y ya no puede acceder a los registros históricos necesarios para las investigaciones relacionadas con el Título IX. Una planta de fabricación pierde los incidentes de seguridad documentados que constituían pruebas fundamentales en un caso de indemnización laboral en curso. 

La empresa —la verdadera propietaria de las instalaciones donde se produjeron estos incidentes— a menudo no mantiene ninguna relación directa con el proveedor del software de seguridad. Su contrato es con la empresa de seguridad, que a su vez tiene un contrato con el proveedor del software. Cuando finaliza la relación con la empresa de seguridad, también se interrumpe el acceso a los datos. 

Esto genera graves problemas que van más allá de la mera pérdida de registros históricos. Las auditorías de cumplimiento pueden exigirle que facilite datos sobre incidentes de seguridad de años anteriores. Los procedimientos judiciales pueden requerir el acceso a informes específicos de incidentes o a registros de patrullas. Las reclamaciones a las aseguradoras pueden depender de las medidas de seguridad documentadas y de las respuestas a los incidentes. El análisis de tendencias requiere datos históricos continuos para identificar patrones y servir de base para mejorar la seguridad. 

Preguntas que las empresas deberían plantear a sus proveedores de servicios de seguridad: 

Antes de firmar o renovar un contrato de servicios de seguridad, las empresas deben abordar de forma explícita las cuestiones relativas a la titularidad y la conservación de los datos: 

• ¿Quién es el titular de los datos de seguridad generados en nuestras instalaciones?Esto debería indicarse explícitamente en el contrato. La empresa debería conservar la titularidad de todos los informes de incidentes, registros de patrullas, registros de acceso y datos de seguridad generados en sus instalaciones. 

• ¿Qué ocurre con nuestros datos si rescindimos este contrato?El acuerdo debe especificar que la empresa reciba una exportación completa de todos los datos en un formato estándar y utilizable en un plazo determinado (30 días como máximo) tras la rescisión del contrato. 

• ¿Podemos acceder a nuestros datos directamente durante la vigencia del contrato?No esperes a que finalice la relación para solicitar el acceso a los datos. Las empresas deben tener la posibilidad permanente de exportar y revisar sus datos de seguridad, ya sea mediante el acceso directo a la plataforma o mediante exportaciones programadas periódicamente. 

• ¿En qué formato se proporcionarán las exportaciones de datos?Insiste en que seutilicen formatos estructurados y legibles por máquina (JSON, XML o CSV con el formato adecuado) que conserven todas las relaciones entre los datos, y no solo informes en PDF, que resultan difíciles de analizar o de migrar a nuevos sistemas. 

• ¿Se aplicarán tasas por la extracción de datos?Algunos proveedores cobran tasas considerables por la exportación de datos. Este aspecto debe abordarse de forma explícita en el contrato de servicios para evitar costes inesperados durante la transición. 

• ¿Cómo garantizarán la continuidad de los datos si cambiamos de proveedor?Los mejores proveedores de servicios de seguridad comprenden esta preocupación y la abordan de forma proactiva. Deberían estar dispuestos a colaborar con su nuevo proveedor para facilitar la transferencia de datos y garantizar la continuidad operativa. 

Algunas empresas con visión de futuro están resolviendo este problema manteniendo su propio repositorio de datos de seguridad, independiente de la plataforma de su proveedor de servicios. Exigen a su proveedor de seguridad que les facilite exportaciones periódicas de datos (semanales o mensuales) que se incorporen al propio almacén de datos o al centro de operaciones de seguridad de la empresa. Esto garantiza la propiedad continua de los datos, independientemente de cuál sea la empresa de seguridad con la que se tenga contratado el servicio. 

Otro enfoque que está surgiendo consiste en que las empresas adquieran directamente la licencia de la plataforma de gestión de personal y faciliten el acceso a su proveedor de servicios de seguridad. Esto invierte la relación habitual: la empresa controla la plataforma y los datos, y la empresa de seguridad es simplemente un usuario. Cuando cambian los contratos, la empresa mantiene una continuidad total de los datos y el nuevo proveedor de seguridad solo tiene que integrarse en la plataforma existente. 

El verdadero coste de equivocarse 

Piensa en lo que ocurre cuando necesitas cambiar de proveedor, pero descubres que tus datos están bloqueados. Te enfrentas a la renovación de un contrato con condiciones desfavorables, pero extraer tres años de informes de incidentes, datos de rondas de vigilancia, registros de formación y comunicaciones con los clientes resulta casi imposible. El proveedor ofrece la posibilidad de exportar los datos, pero en formatos que no conservan las relaciones entre los registros. Los campos personalizados en los que has confiado ni siquiera se exportan. Los datos históricos solo están disponibles en intervalos de 90 días, y cada solicitud requiere un ticket de asistencia y un plazo de respuesta de tres semanas. 

Antes de firmar ese próximo contrato o renovar tu plataforma actual, tómate en serio la «Prueba de exportación». Solicita hoy mismo una exportación completa de datos, mientras aún mantienes una buena relación con tu proveedor. Examina lo que recibas. ¿Podrías migrar a una nueva plataforma con estos datos? ¿Podrías reconstruir tus operaciones si fuera necesario? Si la respuesta no es un «sí rotundo», es hora de mantener una conversación seria sobre la propiedad de los datos, la portabilidad y la independencia operativa a largo plazo de tu empresa. 

Tus datos de seguridad representan años de inteligencia operativa, relaciones con los clientes, lecciones aprendidas de incidentes y conocimientos sobre la plantilla. Asegúrate de que sigan siendo realmente tuyos, no solo en teoría, sino también en la práctica.