Ciberataque en tu empresa uruguaya: el playbook de las primeras 72 horas (URCDP, CERTuy y denuncia penal)

El día que te atacan no se decide nada: se ejecuta lo que decidiste antes. En Uruguay ese “antes” tiene nombre y reloj: 24 horas para iniciar la mitigación y para reportar al CERTuy si prestas servicios críticos, 72 horas para comunicar la vulneración a la URCDP, y un informe pormenorizado después. Esta guía, verificada en fuentes oficiales a setiembre de 2026, es el playbook hora a hora que conviene tener impreso, con la plantilla de notificación y el checklist de directorio.

¿Qué tiene que pasar en las primeras 72 horas después de un ciberataque?

Hay que hacer cinco cosas en paralelo: contener sin destruir la evidencia, determinar si se comprometieron datos personales, reportar al CERTuy, comunicar la vulneración a la URCDP y decidir qué se les dice a los clientes. No es una secuencia: es un tablero simultáneo, y la parte legal tiene reloj.

El tablero de las 72 horas

Tres cifras explican por qué esto dejó de ser opcional. El CERTuy detectó y respondió 42.768 incidentes en 2025, un 199,83% más que en 2024 (14.264), según su ficha estadística del 19 de enero de 2026. En el primer semestre de 2026 registró 32.399 incidentes, con 0,10% de severidad alta o muy alta, según la publicación del 29 de julio de 2026 en su sección de estadísticas. Y desde 2024 hay ocho figuras penales específicas en la Ley 20.327. El marco existe; lo que falta, en casi todas las empresas, es el procedimiento interno. El otro frente de exposición —usar herramientas de IA con datos de clientes sin autorización de transferencia internacional— lo tratamos aparte en usar ChatGPT y Claude con datos de clientes en Uruguay.

¿Qué es una vulneración de seguridad notificable en Uruguay?

Una vulneración notificable es todo incidente que ocasione la divulgación, destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos. Es la definición del artículo 3 del Decreto 64/020, que retoma la URCDP en su Guía para la gestión, documentación y comunicación de vulneraciones de seguridad en datos personales.

La distinción que más confunde: la vulnerabilidad es el fallo del sistema (un servidor sin parchear); el incidente es el acceso, uso o modificación no autorizados; la vulneración es el incidente que afectó datos personales. Solo el tercero dispara el reloj de 72 horas. Y dos precisiones que se pasan por alto: la Ley 18.331 protege datos de personas físicas y también de personas jurídicas en lo pertinente (artículo 2), y protege datos que vuelven identificable al titular aunque no lo nombren: un archivo de logs con IP, número de cliente y horarios puede ser dato personal.

Hora 0 a 12: contener, preservar evidencia y medir el alcance

El objetivo es doble: detener la propagación y responder qué datos personales quedaron expuestos, de cuántas personas y de qué tipo. El error más caro bajo presión es reinstalar el servidor comprometido esa misma noche: resuelve el síntoma y elimina la prueba que después pedirán la URCDP, la Fiscalía y la aseguradora. El CERTuy pide conservar el sistema en las condiciones del descubrimiento, salvo urgencia inevitable.

Contención, en orden

1. Aislar, no apagar. Desconectar de la red los equipos comprometidos y evitar el apagado si se sospecha malware en memoria. Si hay que apagar, dejar constancia de hora y responsable.
2. Cortar el acceso del atacante. Revocar sesiones activas, rotar credenciales privilegiadas, deshabilitar cuentas sospechosas y bloquear accesos remotos de proveedores.
3. Preservar evidencia. Resguardar logs de firewall, proxy, servidores, directorio activo, correo y antivirus antes de que roten; guardar la nota de rescate y los contactos del atacante.
4. Proteger los respaldos. Verificar que no estén cifrados ni accesibles desde la red comprometida: en ransomware son el primer objetivo.
5. Abrir la bitácora del incidente. Hora, acción, responsable y decisión. Ese documento se convierte después en el informe a la URCDP.
6. Activar el comité de crisis: dirección general, TI, legales, comunicación y delegado de protección de datos.

Qué no hacer

• No negociar con el atacante sin decisión formal del directorio y opinión jurídica.
• No reinstalar ni formatear equipos comprometidos, ni borrar los correos de extorsión: son evidencia.
• No comunicar nada externamente todavía: un comunicado con datos incorrectos es peor que doce horas de silencio.
• No usar el correo corporativo comprometido para coordinar: si el atacante está adentro, está leyendo el plan.

Las siete preguntas del alcance

1. ¿Qué sistemas fueron alcanzados? ERP, CRM, correo, archivos, nómina, facturación electrónica.
2. ¿Qué bases de datos personales viven ahí? Con inventario se responde en veinte minutos; sin él, en tres días.
3. ¿Los datos son básicos, sensibles o especialmente protegidos? La guía de la URCDP pide esa clasificación de forma expresa.
4. ¿Cuántos titulares están afectados? Un número estimado es aceptable en el primer informe; la ausencia de número, no.
5. ¿Quiénes son? Clientes, usuarios, pacientes, alumnos, empleados, postulantes.
6. ¿Hubo exfiltración o solo cifrado? Revisar tráfico saliente y herramientas de compresión ejecutadas en servidores.
7. ¿Cuándo empezó realmente? La fecha de detección casi nunca coincide con la de inicio.

Hora 12 a 24: el reporte al CERTuy y la decisión del directorio

Antes de las 24 horas hay que cerrar dos cosas: el reporte al CERTuy y una decisión formal del directorio sobre negociación, comunicación pública y activación de seguros.

Cómo se reporta al CERTuy

El CERTuy recibe reportes de cualquier persona u organización, pública o privada. Según su publicación oficial ¿Cómo reportar un incidente?, los canales son: correo a cert@cert.uy con nombre, contacto, organización y descripción del problema; el formulario de su página de contacto; y el teléfono de emergencia (+598) 2 150 2378, disponible las 24 horas. Para la mayoría de las empresas privadas el reporte es voluntario; deja de serlo si te alcanza el Decreto 66/025, donde el plazo es de 24 horas (artículo 10, literal g).

¿Te alcanza el Decreto 66/025?

El decreto, promulgado el 20 de febrero de 2025 y publicado el 14 de marzo de 2025, aplica a todas las entidades públicas y a las entidades privadas vinculadas a servicios o sectores críticos (artículo 2). El artículo 3, literal j, enumera: salud, orden público, servicios de emergencia, energía, telecomunicaciones, transporte, agua potable, ecología y ambiente, agroindustria, industria, servicios públicos, banca y servicios financieros, y defensa. Es mucho más amplio de lo que asume la mayoría de los directorios: una industria alimentaria, una logística o una agroindustrial exportadora pueden estar dentro. Texto completo en IMPO, Decreto N° 66/025.

Las cinco decisiones del directorio

1. ¿Se paga el rescate? No hay prohibición general en Uruguay, pero el pago no garantiza recuperación, no elimina el deber de notificar y puede tener implicancias de prevención de lavado. Debe constar en acta con su opinión jurídica.
2. ¿Se detiene la operación? Cuánto se puede operar en modo manual y a qué costo diario.
3. ¿Se activa el seguro cibernético? Muchas pólizas exigen aviso en plazo corto y peritos de su panel: llamar antes de contratar por cuenta propia.
4. ¿Quién habla? Un único vocero, con mensajes aprobados.
5. ¿Se hace la denuncia penal? Ver más abajo.

Hora 24 a 48: cómo se comunica la vulneración a la URCDP

La comunicación a la Unidad Reguladora y de Control de Datos Personales (URCDP) la hace el responsable de la base de datos, dentro de las 72 horas de conocida la vulneración, con los mayores detalles posibles del hecho y de las medidas ya adoptadas (artículo 4 del Decreto N° 64/020, de 17 de febrero de 2020).

Quién comunica, y la excepción que importa

El encargado de tratamiento comunica al responsable, y este comunica a la URCDP. Pero la guía agrega una excepción relevante: puede ser pertinente que los encargados comuniquen directamente a la Unidad cuando tratan datos por cuenta de múltiples responsables, y menciona a las agencias de cobranza y de correspondencia. Traducido: si eres proveedor de software, BPO, empresa de facturación o centro de contacto, no ser dueño de los datos no te saca del tablero.

Por qué canal se envía

A setiembre de 2026 la URCDP tiene cinco trámites en línea —consultas, denuncias, inscripción de bases de datos, transferencias internacionales y solicitudes de acceso— y ninguno específico para comunicar vulneraciones. En la práctica se presenta como escrito ante la Unidad. Sus vías de contacto publicadas son notificacionesurcdp@datospersonales.gub.uy para escritos y documentación, preferentemente en PDF con firma digital; infourcdp@datospersonales.gub.uy para consultas; teléfono (+598) 2901 0065 opción 3, de 9:30 a 17:30; y oficina en Liniers 1324, piso 4. Confirma el canal vigente antes de enviar.

Qué pasa después

Se abre un expediente administrativo. La URCDP evalúa el contenido y las medidas junto con el CERTuy —artículo 38 de la Ley 19.670— y acuerda el procedimiento a seguir: puede pedir ampliaciones, exigir medidas nuevas y disponer fiscalizaciones.

Plantilla: qué datos lleva la comunicación de vulneración a la URCDP

La URCDP publicó, como anexo de su guía, la lista exacta de datos que debe contener la comunicación. No es una recomendación genérica: es el formulario de hecho. Lo reproducimos como plantilla para tenerlo precargado antes del incidente.

A, B y C. Identificación. De quien comunica (nombre, documento, calidad en que actúa, dirección, teléfono y correo); del responsable y de su delegado de protección de datos (nombre y correo); y del encargado de tratamiento, cuando exista.

D. Datos de la base afectada. Nombre; ubicación; número de inscripción en la URCDP, de corresponder; cantidad de personas que la integran; tipos de datos que contiene.

E. Información temporal. Fecha de inicio (exacta, estimada o no conocida); fecha y circunstancias de la detección; si ya se inició el procedimiento de resolución y, si no, por qué; si está resuelta y su fecha; y justificación de por qué se notificó después de las 72 horas, si fuera el caso.

F. Descripción de la vulneración. El anexo ofrece referencias: acceso o difusión no autorizados; modificación no autorizada; desaparición o pérdida; dispositivo perdido, robado o desechado; documentación mal desechada; datos mostrados a la persona incorrecta; datos usados sin consentimiento; publicación no intencionada; error humano; datos enviados por error; malware, phishing o intrusión de un tercero ajeno; otros.

G. Medidas preventivas existentes antes de la vulneración. Aquí se ve si la empresa venía haciendo los deberes: es donde se juega el principio de responsabilidad proactiva.

H. Datos afectados: básicos, sensibles, especialmente protegidos, de localización u otros. I. Titulares afectados: clientes, usuarios, suscriptores, alumnos, pacientes u otros, y cantidad estimada. J. Posibles consecuencias y K. medidas realizadas para minimizar el impacto, ambas con detalle.

L. Comunicación a los interesados. Si se comunicó; fecha en que se informó o se prevé informar; número de personas; medios utilizados; y, si no se informó, la justificación.

Cómo prepararlo antes de que pase

• Precarga hoy los bloques A, B, C y D: son datos estables, no hay por qué redactarlos en crisis.
• Mantén un inventario de bases y de encargados con ubicación y cantidad de titulares. Sin eso, el bloque D es imposible de completar en 72 horas.
• Documenta el bloque G de forma continua: política de seguridad, accesos, cifrado, respaldos, capacitación y pruebas. En la crisis solo se copia.
• Ten redactadas las dos variantes del bloque L: comunicar y no comunicar, cada una con su fundamento.

Hora 48 a 72: clientes, empleados, proveedores y prensa

Avisar a los titulares es obligatorio cuando la vulneración ocasionó una afectación significativa de sus derechos, en lenguaje claro y sencillo (artículo 4 del Decreto 64/020). La URCDP no fija formato: exige que la comunicación sea fehaciente.

¿Cómo se decide si hay afectación significativa?

No hay umbral numérico: la valoración es del responsable. Pero la guía advierte algo decisivo: si decides no comunicar, la Unidad te va a pedir esa decisión y su fundamento. El silencio también se justifica por escrito. Criterios razonables: tipo de dato, riesgo de fraude o suplantación, volumen, y si avisar le permite al titular protegerse —cambiar contraseñas, bloquear una tarjeta, desconfiar de una llamada—.

Qué debe decir la comunicación a titulares

1. Qué pasó, en una frase, sin jerga ni eufemismos, y cuándo se detectó.
2. Qué datos suyos, concretamente, pudieron verse afectados.
3. Qué hiciste tú para contenerlo.
4. Qué puede hacer la persona ahora: pasos concretos.
5. Un canal de contacto real, atendido por personas, con horario.

Los otros cuatro públicos

• Empleados: son titulares de datos y el canal por donde se filtra la información. Comunicar internamente antes que externamente.
• Clientes corporativos: muchos contratos con bancos y multinacionales tienen plazos de notificación propios, más cortos que las 72 horas legales.
• Proveedores y socios conectados: si hay integraciones activas, tu incidente puede ser la puerta de entrada al de ellos.
• Prensa: en Uruguay los incidentes se publican, en buena medida a partir de foros de venta de datos. Si el dato ya está a la venta, la pregunta no es si se sabrá, sino quién lo cuenta primero.

La denuncia penal: qué tipifica la Ley 20.327 y dónde se presenta

Desde la Ley 20.327, promulgada el 23 de agosto de 2024, Uruguay tiene ocho figuras penales específicas incorporadas al Código Penal. Denunciar dejó de ser un gesto simbólico.

El texto completo está en IMPO, Ley N° 20.327. Para un ransomware con exfiltración, la combinación típica es acceso ilícito (297 bis), vulneración de datos (297 quater), daño informático (358 quater) y, si hubo extorsión con pago, fraude informático (347 bis).

Dónde y cómo se denuncia

Según la publicación del Ministerio del Interior sobre cómo denunciar ciberdelitos, del 24 de noviembre de 2025: en Montevideo, ante la Dirección General de Cibercrimen, Carlos Quijano 1316, teléfonos 2030 4625 y 2030 4632; en el resto del país, ante cualquier seccional policial o fiscalía; en línea, en denuncia.minterior.gub.uy; y para asesoramiento, dipn-cibercrimen@minterior.gub.uy.

El Ministerio subraya tres cosas: denunciar de inmediato, porque la evidencia digital es frágil; no hace falta tener toda la información para la denuncia inicial; y no hay que eliminar ni modificar nada en los dispositivos. La Ley 20.327 habilita además a instituciones financieras y emisoras de dinero electrónico a inmovilizar fondos ante operaciones no autorizadas: si hubo una transferencia fraudulenta, el aviso al banco en las primeras horas puede ser la diferencia entre recuperar y no.

El riesgo de terceros: qué enseñó el caso de las facturadoras electrónicas

En setiembre de 2025 dos empresas de facturación uruguayas sufrieron filtraciones que expusieron correos, datos de usuarios y clientes e información vehicular y logística, según el inventario publicado por El Observador el 23 de diciembre de 2025. Es el caso que mejor explica por qué el riesgo de terceros dejó de ser teórico.

Desde el 1º de enero de 2025 todos los contribuyentes de IVA deben ser emisores electrónicos, por la Resolución DGI 2548/2023. Prácticamente toda empresa uruguaya tiene entonces un proveedor con acceso a su flujo de comprobantes: quién le compra, cuánto y con qué datos identificatorios. Es el mapa comercial de la empresa más los datos personales de sus clientes. Cuando ese proveedor es comprometido, tú no eres espectador: eres el responsable del tratamiento, y la obligación de comunicar a la URCDP es tuya.

A eso se suma la concentración de propiedad. Vesta Software Group, subsidiaria de Jonas Software y a su vez de Constellation Software, adquirió empresas uruguayas de facturación electrónica, ERP, nómina y punto de venta —entre ellas Uruware, K2B, Datalogic, GSoft, Nodum y Geocom—, según las comunicaciones de la propia Vesta Software Group. No es un juicio sobre su calidad: es un dato de concentración. Cuando tu facturación, tu ERP y tu nómina dependen del mismo grupo, la diversificación de proveedores dejó de existir aunque tengas tres contratos.

Las ocho preguntas que tu contrato debería responder

1. ¿En cuántas horas se compromete el proveedor a notificarte un incidente? Si dice "razonablemente", no dice nada.
2. ¿Dónde se alojan físicamente tus datos? ¿Hay transferencia internacional?
3. ¿Quién es subencargado? ¿Puede subcontratar sin avisarte?
4. ¿Qué auditorías de seguridad tiene y cada cuánto las renueva?
5. ¿Qué pasa con tus datos si rescindes? Formato, plazo y costo de la exportación.
6. ¿Puedes salir sin penalidad si el proveedor es adquirido por otro grupo?
7. ¿Tiene seguro de responsabilidad civil por ciberincidentes y cuál es el límite?
8. ¿Puedes auditarlo o recibir el informe de su auditoría anual?

Incidentes verificados 2025-2026: la tabla para llevar al directorio

Los números oficiales del CERTuy y el inventario público de 2025 son el mejor argumento para justificar un presupuesto de ciberseguridad ante un directorio escéptico.

Fuente: estadísticas oficiales del CERTuy. En 2025 la distribución por tipo fue: recolección de información 73%, seguridad de la información 17%, malware 3%, intentos de intrusión 3%, intrusión 2%, indisponibilidad 1% y contenido inapropiado 1%. La lectura para un director: casi tres cuartas partes de lo que detecta el CERTuy es recolección de información, es decir, reconocimiento previo. No es ruido: es la fase en la que alguien está midiendo tus defensas.

Los incidentes más graves de 2025

El cuadro resume el inventario publicado por El Observador el 23 de diciembre de 2025, tal como fue reportado por ese medio.

El patrón es incómodo: el sector privado aparece, pero casi siempre sin nombre. Los organismos públicos están obligados a la transparencia; las empresas resuelven en silencio. Eso distorsiona la percepción de riesgo de muchos directorios, que creen que "esto le pasa al Estado".

¿Cuánto cuesta no cumplir? Sanciones y exposición real

El artículo 35 de la Ley N° 18.331 habilita a la URCDP a aplicar cinco sanciones graduadas: observación, apercibimiento, multa de hasta 500.000 UI, suspensión de la base de datos por cinco días y clausura. Las resoluciones que imponen multas constituyen título ejecutivo, y las sanciones se gradúan por gravedad, reiteración o reincidencia.

A valor de la Unidad Indexada de setiembre de 2026 —$6,6377 al 4 de setiembre, según la serie publicada por la DGI— el tope equivale a aproximadamente $U 3,3 millones. Pero la multa casi nunca es el costo principal.

Los costos que pesan más son otros: los días sin facturar, despachar o producir; el peritaje forense y el rearmado de infraestructura; la pérdida de clientes corporativos cuyas cláusulas de seguridad quedaron incumplidas; los reclamos de titulares por la vía del habeas data; y el daño reputacional de que el incidente se conozca por el diario y no por vos. Todos se reducen con lo mismo: respaldos aislados probados, un proveedor de respuesta contratado de antemano, contratos revisados y un procedimiento escrito con evidencia documentada.

El principio de responsabilidad proactiva que incorporó el Decreto 64/020, con privacidad por diseño y por defecto, cambia la carga argumental: ya no alcanza con decir "nos atacaron", hay que poder mostrar qué medidas había antes. Ese es el bloque G del anexo de la URCDP, y es donde se define si el incidente se lee como desgracia o como negligencia.

Prevención mínima: el Marco de Ciberseguridad 5.0 y el Decreto 66/025

Uruguay tiene un marco propio, gratuito y aplicable: el Marco de Ciberseguridad de AGESIC, versión 5.0, publicada el 20 de julio de 2026. Es obligatorio para entidades públicas y privados de sectores críticos, y es la mejor base disponible para cualquier otra empresa.

Estructura la ciberseguridad en seis funciones —Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar— y ofrece tres perfiles comunitarios (Básico, Estándar y Avanzado) con metas de implementación a tres años. Está disponible en el portal de AGESIC, con guías, plantillas y guía de auditoría; AGESIC atiende consultas en ciberseguridad@agesic.gub.uy. La lógica de perfiles es lo útil para una empresa mediana: no hay que llegar al nivel Avanzado, hay que elegir un perfil, medir la brecha y cerrarla en un plazo declarado. Eso, documentado, respalda el bloque G de una eventual comunicación a la URCDP.

Obligaciones del Decreto 66/025, si te alcanza

• Adoptar el Marco de Ciberseguridad y cumplir el nivel de madurez mínimo del perfil (artículo 14).
• Designar un responsable de Seguridad de la Información con independencia técnica (artículo 10, literal c).
• Comunicar los incidentes al CERTuy dentro de las 24 horas (artículo 10, literal g).
• Realizar auditorías conforme a los lineamientos del Marco, con la periodicidad definida (artículo 16).

Los diez controles que más incidentes evitan

1. Segundo factor de autenticación en correo, VPN, cuentas de administrador y accesos de proveedores: el control con mejor relación costo-beneficio que existe.
2. Respaldos con una copia aislada de la red, probada con restauración real dos veces por año. Un respaldo que nunca se restauró no es un respaldo.
3. Gestión de parches con ventana definida para sistemas expuestos a internet.
4. Inventario de activos y de bases de datos personales, con responsable asignado.
5. Menor privilegio: revisión trimestral de accesos y baja inmediata de quienes ya no están.
6. Retención de logs por 90 días como mínimo y segmentación de red entre ofimática, producción y respaldos.
7. Cifrado de discos en notebooks y móviles corporativos.
8. Simulacros de phishing medidos y repetidos: el error humano figura entre las causas típicas de la guía de la URCDP.
9. Plan de respuesta escrito y ensayado, con el tablero de las 72 horas y los contactos.

Si estás modernizando operaciones, vale mirarlo junto con nuestra guía de automatización con IA para empresas uruguayas y con el análisis de datacenters, IA y energía en Uruguay.

Qué hacer esta semana: checklist de directorio y calendario

Nada de lo anterior sirve si se lee y se archiva. Estas son las acciones que un directorio puede cerrar en cuatro semanas, sin proyecto y sin licitación.

Semana 1: saber dónde estás parado

• Pedir a TI el inventario de bases de datos personales: cuáles son, dónde están, cuántos titulares y qué tipo de datos.
• Pedir la lista de proveedores con acceso a datos personales y marcar los críticos.
• Verificar si la empresa está alcanzada por el Decreto 66/025 (artículo 3, literal j).
• Verificar si corresponde designar delegado de protección de datos: obligatorio para entidades públicas, para privadas que tratan datos sensibles como negocio principal y para quienes tratan datos de más de 35.000 personas (artículo 40 de la Ley 19.670 y artículo 10 del Decreto 64/020). Se comunica a la URCDP dentro de los 90 días.

Semana 2: armar el tablero de crisis

• Escribir el plan de respuesta de 72 horas en dos páginas: roles, contactos, decisiones y plazos.
• Definir y probar el canal alterno del comité, y precargar los bloques A, B, C y D de la plantilla de la URCDP.
• Reunir en un documento los contactos del CERTuy, la URCDP, Cibercrimen, la aseguradora y el estudio jurídico.

Semana 3: cerrar las brechas más baratas

• Activar segundo factor en correo, VPN y cuentas de administrador.
• Probar una restauración real de respaldo de un sistema crítico y cronometrarla.
• Dar de baja cuentas de ex empleados y de proveedores inactivos.
• Elegir el perfil del Marco de Ciberseguridad 5.0 y hacer la autoevaluación inicial.

Semana 4: contratos y gobierno

• Revisar las cláusulas de notificación de incidentes de los cinco proveedores más críticos.
• Llevar al directorio un punto con exposición, brechas, presupuesto y responsable.
• Agendar un simulacro de dos horas y definir la periodicidad de auditoría.

Checklist imprimible para el día del incidente

1. Aislar equipos comprometidos sin apagarlos; anotar hora y responsable.
2. Abrir la bitácora y activar el comité por el canal alterno.
3. Resguardar logs, respaldos y comunicaciones del atacante.
4. Determinar el alcance: sistemas, bases, tipo de datos, cantidad de titulares.
5. Reportar al CERTuy (24 h si aplica el Decreto 66/025) y avisar a la aseguradora y al estudio jurídico.
6. Presentar la comunicación a la URCDP antes de las 72 horas.
7. Decidir y documentar si se comunica a los titulares, y su fundamento.
8. Denunciar ante la Dirección General de Cibercrimen.
9. Comunicar internamente, a clientes corporativos y, si corresponde, públicamente.
10. Cerrada la vulneración, remitir el informe pormenorizado a la URCDP y registrar lecciones aprendidas.

Las cámaras empresariales son buen punto de entrada para diagnósticos y formación: CUTI, la Cámara de Industrias del Uruguay y la Cámara Nacional de Comercio y Servicios; para capacitación subsidiada, INEFOP. Y si nadie puede responder "qué se llevaron" en horas porque los datos están dispersos, eso es un problema de arquitectura antes que de seguridad: en Uniamos ordenamos integraciones, automatizamos procesos y montamos tableros.

Preguntas frecuentes

Artículos relacionados

• Usar ChatGPT y Claude con datos de clientes en Uruguay: lo que la URCDP ya exige
• CFE en Uruguay: los errores de forma que te hacen perder la exoneración de software
• Guía de automatización con IA para empresas uruguayas 2026
• Datacenters, IA y energía en Uruguay: qué significa para tu empresa
• Teletrabajo en Uruguay: la evaluación de riesgos que la IGT puede exigirte
• ERP con API robusta: cómo elegir e integrar en 2026
• Integraciones y APIs: conectar tus sistemas sin romper procesos
• Más artículos del blog de Uniamos