# Antes de conectar un tercero

Se llena una vez por proveedor, antes de mandarle el primer dato personal.

Vale para modelos de lenguaje, hosting, bases de datos gestionadas, CRM,
mensajería, correo transaccional, analítica, monitoreo de errores y pasarelas de
pago.

**Proveedor:**
**Qué hace por nosotros:**
**Fecha de evaluación:** · **Quién evaluó:**

---

## 1 · Qué le mandamos

| Dato | ¿Es necesario que lo reciba? | ¿Se puede seudonimizar antes? |
|---|---|---|
| | | |

> La pregunta incómoda: ¿cuántos de estos campos viajan solo porque es más
> cómodo mandar el objeto completo?

## 2 · Su rol

- [ ] **Encargado** — trata los datos siguiendo nuestras instrucciones.
- [ ] **Responsable independiente** — decide él los fines y medios.

Si es encargado, el contrato debe fijar: objeto del encargo, duración, finalidad,
tipo de datos, categorías de titulares, y derechos y obligaciones de las partes.

## 3 · Las cuatro preguntas que hay que leer en su política

1. **¿Usa nuestros datos para sus propios fines?** Entrenar modelos, mejorar el
   producto, análisis agregados.
2. **¿Los comparte con terceros?** Y si sí, ¿con quiénes y bajo qué condiciones?
3. **¿Puede subcontratar?** La ley exige nuestra autorización específica y por
   escrito para que el encargado delegue. Si su política dice que subcontrata a
   discreción, hay conflicto.
4. **¿Qué pasa al terminar?** Debe suprimir o devolver los datos.

Copia aquí la cita textual relevante de su política, con fecha y enlace. Las
políticas cambian y conviene tener el registro de qué decía cuando decidiste.

> **Caso real que vale contar:** una app fue rechazada en la verificación de
> Google porque enrutaba las llamadas a modelos de lenguaje a través de un
> intermediario cuya política permitía usar y compartir con terceros lo que pasaba
> por sus servidores. El código funcionaba perfecto. El problema estaba en la
> política de un proveedor que nadie había leído.

## 4 · Dónde viven los datos

- **País o región de procesamiento:**
- **¿Se puede elegir región?**
- **Mecanismo que justifica la transferencia:**
  - [ ] País con nivel adecuado de protección
  - [ ] Cláusulas contractuales con garantías adecuadas
  - [ ] Normas corporativas vinculantes
  - [ ] Modelo de cumplimiento o certificación
  - [ ] Consentimiento expreso del titular para esta transferencia determinada
  - [ ] Ninguno identificado ← **esto bloquea la integración**

Recuerda: acreditar que la transferencia fue lícita **te corresponde a ti**, no al
proveedor.

## 5 · Seguridad

- ¿Cifra en tránsito y en reposo?
- ¿Tiene certificaciones? ¿Vigentes?
- ¿Cómo nos avisa a nosotros si sufre una brecha, y en cuánto tiempo?
- ¿Podemos exportar y borrar nuestros datos cuando queramos?

## 6 · Veredicto

- [ ] **Adelante** — conectar.
- [ ] **Adelante con condiciones** — cuáles:
- [ ] **No** — por qué:

**Revisar de nuevo el:** _(las políticas cambian; ponle fecha)_

---

## La regla corta

Una herramienta que usas **para ti** y una herramienta con la que **le das
servicio a otros** no se evalúan igual. La barata y rápida puede estar perfecta
para probar, y ser justo la que te impide vender.

---

*Plantilla de apoyo, no un documento legal. El contrato lo revisa un abogado.*