TL;DR
- Los equipos de seguridad examinan a fondo las herramientas de deduplicación porque leen y modifican los registros de clientes.
- Una revisión de seguridad suele empezar por dónde se almacenan los datos de clientes y quién puede acceder a ellos.
- Los revisores suelen pedir certificados, como ISO 27001, que acrediten una auditoría independiente del proveedor.
- Algunas empresas exigen un NDA o su propio cuestionario de proveedores antes de aprobar una herramienta.
- Dedupely publica sus certificaciones y subencargados, y trabaja con los NDA y cuestionarios de sus clientes.
Ha encontrado una herramienta de deduplicación que encaja y el equipo está listo para empezar. Entonces alguien pregunta si seguridad la ha aprobado. En muchas empresas, cualquier herramienta que toque datos de clientes pasa antes por una revisión.
Una herramienta de deduplicación recibe más escrutinio que muchas. Se conecta al CRM, lee objetos completos de registros de clientes y los modifica al fusionar. Los equipos de seguridad quieren saber qué significa eso para los datos.
Este artículo recoge las preguntas que los equipos de seguridad hacen a cualquier proveedor, por qué las hacen y qué respuesta es clara. Incluye también las específicas de la deduplicación y cómo agilizar la revisión.
Por qué una herramienta de deduplicación merece más atención
Muchas aplicaciones conectadas a un CRM leen algunos campos o escriben algunas actividades. Una herramienta de deduplicación funciona de otra manera. Para encontrar duplicados, necesita los registros de los objetos que elijas, a menudo con nombres, correos, números de teléfono y direcciones.
Para fusionarlos, también necesita permiso para actualizar y eliminar registros. Conectar uno suele requerir derechos de administrador en el CRM.
Esa combinación de datos personales y acceso de escritura es en lo que se fijan los equipos de seguridad. Su trabajo es asegurarse de que el proveedor protege los datos tan bien como lo haría tu propia empresa.
Las preguntas que los equipos de seguridad hacen a cualquier proveedor
Cada empresa tiene su propio proceso, y la profundidad de la revisión varía. Estas preguntas surgen en muchas revisiones, con independencia de la herramienta.
¿Dónde se almacenan y procesan los datos?
Los revisores preguntan qué proveedores en la nube alojan los datos, en qué regiones y si el proveedor conserva una copia. La ubicación importa para las leyes de protección de datos y para las políticas internas sobre dónde pueden residir los datos de clientes.
También preguntan cuánto tiempo se conservan los datos y si puede eliminarlos cuando deje de usar la herramienta. Una respuesta clara nombra los proveedores y las regiones, y explica la conservación y el borrado con palabras sencillas.
¿Quién puede acceder a los datos?
Esto abarca dos ámbitos. Por parte del proveedor: qué empleados pueden ver los datos de los clientes, cuándo, y cómo se controla ese acceso.
Por su parte: qué roles ofrece la herramienta y si admite autenticación de dos factores, inicio de sesión único y restricciones de IP. Los revisores también preguntan cómo se conecta la herramienta al CRM. Una conexión basada en tokens, como OAuth, evita almacenar contraseñas del CRM.
¿Cómo usa el proveedor los datos?
Los equipos de seguridad quieren saber que los datos de clientes se usan solo para prestar el servicio. Preguntan si se usan para marketing, se venden o se comparten, y si se envían a modelos de IA externos o se usan para entrenarlos.
Si una herramienta usa IA, los revisores quieren saber dónde se procesan los datos y qué proveedores los ven. Consulta cómo se comparan las herramientas de IA para la deduplicación de CRM.
¿Qué certificaciones y auditorías aplican?
Las certificaciones demuestran que un auditor independiente revisó las prácticas de seguridad del proveedor. ISO/IEC 27001 es una de las más habituales: establece requisitos para un sistema de gestión de seguridad de la información.
Los revisores suelen pedir el propio certificado, su alcance y el auditor. Algunos piden también los resultados de las pruebas de penetración.
¿Qué subencargados tratan los datos?
Los subencargados son las otras empresas en las que se apoya un proveedor, como los de alojamiento en la nube. Los equipos de seguridad piden la lista, con el país de cada uno y qué datos ve cada uno.
Según el RGPD, un encargado necesita la autorización por escrito del responsable antes de contratar a otro encargado. Por eso los revisores quieren la lista por escrito.
¿Qué ocurre en un incidente?
Los revisores preguntan si el proveedor tiene un plan de respuesta a incidentes, cómo se clasifican los incidentes y cómo y cuándo se informa a los clientes afectados. También pueden preguntar cómo cifra el proveedor los datos en tránsito y en reposo.
Acuerdos de confidencialidad, contratos y cuestionarios de proveedores
Algunas revisiones requieren documentación antes de que empiecen las preguntas. Una empresa puede pedir un NDA mutuo antes de que el proveedor comparta documentos detallados, como políticas o informes de pruebas.
Las empresas sujetas al GDPR también necesitan un contrato con cada encargado del tratamiento que regule cómo se gestionan los datos personales. Muchos proveedores ofrecen un acuerdo de tratamiento de datos para ello.
Las empresas grandes suelen enviar su propio cuestionario a proveedores. Puede tener decenas de preguntas y normalmente lo completa el equipo de seguridad o soporte del proveedor. Pide la información pronto, porque los cuestionarios pueden tardar en completarse.
Preguntas específicas sobre herramientas de deduplicación
Una revisión general comprueba cómo el proveedor protege los datos. Una herramienta de deduplicación también modifica tus datos, así que algunos revisores van más allá. Merece la pena responder a estas preguntas antes de que se formulen.
¿Conectar la herramienta cambia algo en el CRM?
Los revisores quieren saber si la sincronización por sí sola edita, fusiona o elimina registros. Una respuesta clara separa leer datos de modificarlos, e indica qué provoca un cambio.
¿Se pueden deshacer las fusiones y queda registro de ellas?
En muchos CRM las fusiones son permanentes. Quienes revisan preguntan qué se conserva de cada registro fusionado, si existe un historial de fusiones y si puede exportarse. Por eso también muchos equipos haz una copia de seguridad del CRM antes de una fusión grande.
¿Quién puede fusionar y qué queda registrado?
Los equipos de seguridad preguntan si el acceso puede limitarse por rol y si un registro de auditoría registra fusiones, inicios de sesión y cambios en la configuración. También preguntan si la herramienta tiene salvaguardas que retengan las coincidencias arriesgadas antes de una fusión masiva.
Cómo agilizar una revisión de seguridad
Las revisiones tardan más cuando seguridad se entera de la herramienta al final. Inclúyalos en cuanto la herramienta parezca adecuada y explique por qué el equipo la necesita.
Comparta la página de seguridad y el centro de confianza del proveedor, la lista de objetos que va a conectar y quién de su equipo usará la herramienta. Si la dirección también debe aprobar el proyecto, el caso de negocio de una limpieza del CRM pueden enviarse a ellos junto con la revisión.
Si su empresa usa su propio cuestionario, envíeselo pronto al proveedor. Pregunte quién es el contacto para las cuestiones de seguridad, para que las respuestas no se pierdan en un buzón general.
Resumen: qué preguntan los equipos de seguridad y por qué
| Pregunta | Por qué lo preguntan | Qué incluye una respuesta clara |
|---|---|---|
| ¿Dónde se almacenan los datos? | Leyes de protección de datos y políticas internas | Proveedores, regiones, retención y eliminación |
| ¿Quién puede acceder? | Limitar la exposición de los datos de clientes | Acceso del personal del proveedor, roles, 2FA, cómo se conecta el CRM |
| ¿Cómo se usan los datos? | Evitar el uso más allá del servicio | Sin uso de marketing ni cesión, tratamiento de IA explicado |
| ¿Qué certificaciones aplican? | Prueba independiente de las prácticas de seguridad | Certificados, alcance, auditor, resultados de las pruebas |
| ¿Qué subencargados de tratamiento se utilizan? | Conozca cada empresa que trata los datos | Nombres, ubicaciones y lo que hace cada uno |
| ¿Qué ocurre en un incidente? | Sepa cómo y cuándo le avisaríamos | Plan de respuesta a incidentes y pasos de notificación |
| ¿Se pueden deshacer o rastrear las fusiones? | Las fusiones modifican los registros de clientes | Merge history, exportación, audit log, protecciones |
Cómo responde Dedupely a una revisión de seguridad
Usa el módulo de Dedupely página de seguridad y Centro de confianza para iniciar la revisión. Pida el alcance y la vigencia actuales del certificado, las ubicaciones de tratamiento, los subencargados, los plazos de conservación y la política sobre tratamiento con IA. Revise esas pruebas para los objetos y campos concretos del CRM que piensa conectar, y acuerde con el proveedor los documentos necesarios antes de dar acceso.
Una buena revisión protege los datos y el proyecto
Los equipos de seguridad preguntan a cualquier proveedor dónde están los datos, quién puede verlos y cómo se usan. También preguntan quién los audita y quién más los gestiona. Una herramienta de deduplicación añade algunas más, porque modifica los registros de clientes, no solo los lee.
Una revisión avanza sin problemas cuando esas respuestas están publicadas, son concretas y fáciles de compartir. Incorporar la seguridad desde el principio, limitar la revisión a los objetos necesarios y prever la documentación. El resultado es una herramienta en la que el equipo de seguridad confía para los datos de los que depende toda la empresa.
Referencias: Seguridad de Dedupely; Centro de confianza de Dedupely.
Preguntas frecuentes
¿Qué piden los equipos de seguridad antes de aprobar una herramienta SaaS?
Suelen preguntar dónde se almacenan y tratan los datos, quién puede acceder a ellos y cómo los usa el proveedor. También preguntan qué certificaciones y auditorías aplican, qué subencargados tratan los datos y qué ocurre en caso de incidente. Muchas empresas exigen además un NDA, un contrato de encargado del tratamiento o su propio cuestionario.
¿Es seguro conectar una herramienta de deduplicación a su CRM?
Puede serlo, una vez que su equipo de seguridad haya revisado al proveedor. Busque certificaciones publicadas, regiones de alojamiento claras, una conexión con el CRM basada en tokens, como OAuth, y una lista de subencargados. Pregunte si la sincronización por sí sola modifica registros y si las fusiones quedan registradas en un historial que pueda exportar.
¿Qué es un cuestionario de seguridad de proveedores?
Un cuestionario de seguridad del proveedor es una lista de preguntas que una empresa envía a un proveedor durante una revisión de seguridad. Abarca temas como el almacenamiento de datos, el control de acceso, el cifrado, las certificaciones, los subencargados del tratamiento y la respuesta ante incidentes. Las grandes empresas suelen usar el suyo propio, y el equipo de seguridad o soporte del proveedor lo completa.
¿Qué es un subprocesador?
Un subencargado es una empresa de la que un proveedor depende para tratar datos de clientes, como un proveedor de alojamiento en la nube. Los equipos de seguridad piden la lista, dónde está cada uno y qué datos ve. Según el GDPR, añadir uno requiere la autorización por escrito del cliente, concedida de forma específica o general.
¿Por qué importa ISO 27001 en una revisión de seguridad?
ISO/IEC 27001 establece requisitos para un sistema de gestión de seguridad de la información, y la certificación significa que un auditor independiente ha verificado al proveedor según ellos. Los revisores suelen pedir el certificado, su alcance y el auditor. No responde a todas las preguntas, así que las revisiones siguen cubriendo alojamiento, accesos y subencargados.
O regístrate con Google
Salesforce AppExchange 
