Cuando una empresa terceriza la portería, la operación cambia de manos, pero rara vez se define con la misma claridad quién es dueño de los registros que esos guardias generan cada turno. 

El problema aparece meses después, cuando el contrato termina y la compañía descubre que las minutas y los logs de acceso quedaron en servidores del proveedor o en cuadernos que el último supervisor se llevó.

Por qué la trazabilidad de accesos se pierde

En Colombia, la Superintendencia de Vigilancia y Seguridad Privada regula la habilitación y operación de estos prestadores, pero la titularidad de la información de accesos depende de lo que ambas partes pacten en el contrato.

Si el contrato no dice nada, el vacío lo llena quien tenga el dato. La división de responsabilidades en un servicio bien estructurado es precisa. El proveedor aporta personal capacitado, uniformado, con credenciales vigentes y supervisión propia. 

La empresa contratante aporta la infraestructura de control de acceso, las consignas específicas del sitio y la plataforma donde se registran entradas, salidas, visitantes y novedades. 

Cuando esa segunda mitad la pone el proveedor, la empresa deja de tener control y pasa a tener una dependencia.

Tres cláusulas que protegen la trazabilidad

• Toda la información generada en la operación de accesos pertenece al contratante, sin importar qué herramienta se use para capturarla.
• El proveedor está obligado a entregar registros completos en formatos interoperables (CSV, JSON o vía API) dentro de las 48 horas siguientes a cualquier solicitud o al cierre del contrato.
• El proveedor tiene prohibido retener, copiar o destruir registros históricos una vez finalizada la relación.

Sin esas tres anclas, el control de acceso que la empresa cree tener existe solo mientras el proveedor quiera colaborar.

Si su empresa ya opera con Falcon Cloud, la lista de personal tercerizado con acceso habilitado por sede y horario está en la ficha de personal: puede revisar quién tiene permiso activo hoy ingresando a la plataforma.

Consignas, minutas y verificación de identidad en cada relevo

La consigna traduce la política de seguridad en instrucciones concretas para cada puesto; la minuta es el registro cronológico de lo que ocurrió durante el turno. Ambos documentos deben residir en una plataforma que administre la empresa contratante.

Cuando viven en el cuaderno del guarda o en el software interno del proveedor, cualquier cambio de empresa genera un apagón informativo que puede durar semanas. La integración técnica resuelve el problema antes de que aparezca.

Una plataforma en la nube con API abierta permite que el personal tercerizado marque su ingreso con biometría facial o dactilar en dispositivos propiedad del contratante, que esas marcaciones se procesen en tiempo real y que los supervisores de ambas partes vean la misma información sin duplicar registros.

El software de control de acceso biométrico de Falcon Cloud opera bajo esa lógica, conectándose con los sistemas del contratante por API, web services o SFTP, de modo que los datos nunca dependen del prestador de vigilancia.

La arquitectura y los controles de seguridad bajo ISO/IEC 27001:2022 están descritos en la página de arquitectura, seguridad y operación multipaís.

La verificación de identidad en cada relevo necesita su propio protocolo. Cuando un guarda llega a cubrir un turno, debe autenticarse con un método biométrico vinculado a la base de datos de la empresa, no del proveedor. 

Si el proveedor envía un reemplazo que la empresa no tiene registrado, el sistema rechaza la marcación y genera una alerta. 

Esa regla elimina la práctica de rotar personal sin avisar, que es lo que rompe la cadena de custodia: no hay forma de garantizar que un guarda ausente de los registros estuviera autorizado para operar el puesto. Dos capacidades sostienen ese control en la práctica.

El software de gestión de personal permite definir qué áreas, horarios y dispositivos puede usar cada persona según su cargo y su sede, y revoca esos accesos de forma automática en todos los dispositivos conectados cuando alguien se da de baja.

Y las alertas y notificaciones en tiempo real avisan del intento de marcación no autorizada mientras ocurre, no en el reporte del mes siguiente.

Indicadores que sí se pueden verificar

Los KPIs que funcionan para controlar un servicio tercerizado son los que se verifican automáticamente contra los registros del sistema de acceso. Cuatro cubren el terreno crítico.

Estos cuatro indicadores deben estar en el contrato con umbrales explícitos y consecuencias por incumplimiento, con penalidades proporcionales por cada punto porcentual de desviación. 

Lo que los alimenta es el reporte diario de personal activo por sede, que cruza la lista de guardias programados contra las marcaciones biométricas efectivamente registradas. 

Sin ese cruce, los indicadores dependen de lo que reporte el propio proveedor, que es exactamente el problema que se pretende resolver.

Las particularidades operativas de una empresa que gestiona personal disperso en muchos puestos, con relevos y turnos rotativos, están desarrolladas en la página de control de asistencia para empresas de servicios.

Cambiar de proveedor sin perder los históricos

La migración de un proveedor a otro es el momento en que la mayoría de las empresas descubre si tenía el control o solo la ilusión de tenerlo. 

Si los registros históricos, las minutas digitales y las novedades residen en la plataforma del contratante, el cambio se reduce a dar de alta a los nuevos guardias y capacitarlos en las consignas vigentes.

Si residían en sistemas del proveedor anterior, la empresa queda con un problema de cadena de custodia que puede tener consecuencias legales ante cualquier investigación posterior.

Fases de un protocolo de migración robusto

• Antes de notificar la terminación, exportar todos los registros del proveedor saliente y validar que los archivos estén completos comparando el número de registros exportados contra el total de marcaciones del período.
• Durante la transición, operar con doble registro por al menos una semana, con el proveedor saliente y el entrante coexistiendo en el sistema para que ningún turno quede sin cobertura documentada.
• Después de la transición, ejecutar una auditoría de integridad que verifique que los logs conservan su formato, sus marcas de tiempo y su trazabilidad completa.

La diferencia entre una migración limpia y un desastre operativo se decide mucho antes del cambio, cuando la empresa define que el sistema de control de acceso es suyo y que cualquier guardia, de cualquier proveedor, se registra en esa plataforma con biometría verificable.

Esa arquitectura convierte al proveedor de vigilancia en un operador dentro de un sistema que la empresa controla, que es lo que la relación debería ser desde el principio.

El mismo principio aplica al flujo de personas externas que atraviesan la portería cada día, cuyo registro tampoco debería depender de quién esté cubriendo el turno: el software de control de visitantes mantiene ese histórico bajo la misma plataforma y las mismas reglas de propiedad del dato.

Si ya opera con Falcon Cloud y está evaluando un cambio de proveedor, puede exportar el histórico completo de marcaciones y novedades por sede ingresando a la plataforma.

Si los registros de sus porterías hoy viven en el sistema del prestador, el equipo de Proware puede revisar cómo recuperarlos desde la página de contacto.

Contenido vigente a agosto de 2026. Informativo; no reemplaza asesoría jurídica en materia contractual ni de protección de datos.

Preguntas frecuentes sobre cómo trabajar con empresas de vigilancia y seguridad privada sin perder el control de sus accesos

¿Quién es dueño de los registros de acceso cuando se contrata una empresa de vigilancia?

La titularidad depende exclusivamente de lo que las partes pacten en el contrato. Sin una cláusula explícita que declare esos registros como propiedad del contratante, el proveedor puede retenerlos o llevárselos al terminar la relación sin ninguna obligación legal de devolverlos.

¿Qué pasa si el proveedor envía un reemplazo que la empresa no conoce?

Si el sistema pertenece a la empresa y exige autenticación biométrica contra su propia base de datos, ese guarda no puede marcar y el sistema genera una alerta automática. Sin esa arquitectura, el reemplazo opera el puesto sin quedar en ningún log verificable.

¿Con qué frecuencia deben revisarse los KPIs del proveedor?

Los cuatro indicadores clave deben revisarse al menos una vez al mes. El reporte diario de personal activo por sede permite detectar desviaciones antes de que escalen y se conviertan en incumplimientos contractuales difíciles de discutir sin evidencia.

¿Cómo se protege la información histórica durante un cambio de proveedor?

Exportando todos los registros antes de notificar la terminación, operando con doble registro durante al menos una semana de transición y ejecutando una auditoría de integridad que confirme que los logs conservan sus marcas de tiempo y su trazabilidad original.

¿En qué formato debe entregar el proveedor los registros al finalizar el contrato?

En formatos interoperables como CSV o JSON, o por transferencia directa vía API. Cualquiera de ellos garantiza que la empresa pueda importar los datos a su propia plataforma sin depender de herramientas propietarias del proveedor saliente.