Cómo trabajamos
Cuando nos entregas tu cumplimiento, pones en nuestras manos la licencia que te permite seguir transaccionando. Antes de firmar, mereces saber exactamente qué pasa, quién hace qué y cuánto toma. Esta página responde, sin rodeos, las preguntas que de verdad nos hacen los compradores.
¿Cómo empieza un proyecto con ustedes?
Empieza con una conversación de 30 minutos. Nos cuentas tu alcance, tus plazos y tus restricciones; nosotros te decimos con franqueza si somos el proveedor adecuado para tu caso. Si vamos a tocar información sensible, firmamos un NDA mutuo antes de que compartas nada. De ahí pasamos a un análisis de brechas que define el punto de partida real, no el que se asume en una propuesta genérica.
¿Qué necesito tener listo antes de empezar?
Nada que tengas que «preparar». Empezamos desde donde estés hoy, exista o no documentación previa. Lo que sí necesitamos de tu lado es concreto:
- Acceso a tus ambientes técnicos, o la información técnica equivalente. Sin eso no hay forma de evaluar tu cumplimiento, y no lo adivinamos.
- Acceso a las personas que son dueñas de cada proceso.
- Una contraparte que coordine las decisiones a medida que avanzamos.
El trabajo de levantar, ordenar y documentar es nuestro. Un dato útil: cuanta más información técnica nos compartas desde el inicio, más acotamos el alcance y más rápido (y más económico) avanzamos; si tenemos que relevarlo y escanearlo todo desde cero, el esfuerzo y los plazos crecen.
¿Qué hacemos nosotros y qué haces tú?
La división es clara y la dejamos por escrito desde el inicio. En una frase: nosotros cargamos con el cumplimiento para que tú cargues con tu negocio.
| Lo que asumimos nosotros | Lo que pones tú |
|---|---|
| Diseñar, documentar y mantener operativo el sistema de gestión, con PCI DSS, ISO 27001 y Protección de Datos integrados en uno solo. | Acceso a tus ambientes y a las personas dueñas de cada proceso. |
| Auditarlo internamente con el mismo rigor que el certificador y cerrar las brechas. | Las decisiones que son propias de tu negocio. |
| Representarte ante el auditor externo y dirigir las remediaciones hasta el certificado. | Seguir operando tu negocio, sin convertirte en experto de las normas. |
¿Cuáles son las fases del proyecto?
Cuatro fases, cada una con un resultado concreto y verificable. No siempre es el paquete completo: puedes contratar una sola fase (por ejemplo, solo el análisis de brechas o solo la auditoría interna) o el proyecto completo de principio a fin.
- Análisis de brechas y alcance. Definimos qué entra en el alcance y medimos la distancia entre tu estado actual y lo que exige cada estándar. Entregable: un informe de análisis de brechas.
- Diseño e implementación. Levantamos el sistema de gestión (políticas, procesos, controles y evidencia) integrando los tres estándares en uno solo. Resultado: el sistema funcionando en tu operación diaria, documentación incluida.
- Supervisión y auditoría interna. Mantenemos el sistema vivo y lo evaluamos con el mismo rigor del certificador, cerrando brechas antes de la auditoría real. Resultado: llegas a la auditoría sin sorpresas.
- Auditoría externa. Te representamos ante el auditor o el QSA y sustentamos cada observación hasta cerrarla. Resultado: terminas con tu sistema sustentado y tu operación intacta.
¿Cuánto tarda una certificación?
Depende de tu punto de partida y del estándar, y no te vamos a vender un número genérico. Como orientación, una primera implementación desde cero suele tomar entre 9 y 12 meses según el estándar; una recertificación es un ciclo anual; una migración entre versiones es más corta. El cronograma firme sale del análisis de brechas, con fechas que asumimos por escrito.
¿Cómo se estructura el precio?
Cotizamos por fase o por proyecto completo, siempre con un precio específico que dejamos por escrito después del análisis de brechas, porque recién ahí se conoce el alcance real. El monto depende del tamaño de tu operación, de los estándares que entren al proyecto y de cuánta información técnica nos compartas desde el inicio, ya que mientras más nos entregues, más se acota el trabajo y menor es el costo. No vendemos horas sueltas.
¿Qué pasa si el auditor encuentra no conformidades?
Las analizamos contigo y te ayudamos a resolverlas, definiendo el plan de remediación, acompañando a tu equipo mientras corrige y sustentando el cierre ante el auditor o el QSA, y como antes auditamos tu sistema con el mismo rigor del certificador, las brechas se detectan y se cierran antes de esa instancia.
¿Ustedes mismos me certifican?
No, y es deliberado. Nosotros preparamos y defendemos tu sistema; el certificado lo emite un organismo certificador o un QSA independiente. Nunca auditamos nuestro propio trabajo como si fuéramos ese tercero. Es la base de nuestra independencia, y la explicamos en detalle en Independencia y gestión de conflictos.
¿Trabajan con empresas fuera de Perú?
Sí. PCI DSS e ISO 27001 son estándares internacionales: el sistema de gestión es el mismo en Perú, Chile, Colombia o cualquier país de la región. La capa que cambia es la de protección de datos, que adaptamos a la ley de cada país. Hemos sostenido operaciones de medios de pago en varios países a la vez, para que trabajes con un solo equipo y no con un consultor distinto por cada frontera.
¿Listo para hablar?
Si tu caso encaja con esto, cuéntanoslo en una primera conversación de 30 minutos. Y si no somos el proveedor adecuado para ti, te lo diremos en esa misma llamada.