Datos de clientes del salón: qué revisar antes de cambiar de proveedor

No preguntes solo si los datos están seguros. Pide el contrato.

El proveedor debe identificar los roles jurídicos, los límites de la organización, las reglas de acceso, la conservación, las copias de seguridad, la exportación, los subencargados y las pruebas de que los controles clave funcionan.

1. Define los roles y los datos mínimos necesarios

El salón es responsable de los datos de sus clientes, mientras que el proveedor del sistema de reservas normalmente los trata para prestar el servicio. Los pagos, la facturación, la seguridad o las obligaciones legales pueden implicar roles distintos. Las condiciones y el acuerdo de tratamiento de datos deben documentarlos.

Un sistema de reservas no debe fomentar la introducción de datos médicos ni de otras categorías especiales sin una base jurídica y controles diseñados para ello. Cada campo necesita una finalidad, un responsable y un plazo de conservación.

2. Revisa los límites de la organización y los permisos

Un campo tenantId no crea aislamiento. El contexto de la organización debe derivarse de una sesión autenticada y de la pertenencia a ella. El backend debe rechazar un identificador de una solicitud pública que contradiga el contexto autorizado.

Los roles de propietario, responsable y personal deben ofrecer capacidades distintas. Los cambios de permisos, las exportaciones y las operaciones administrativas necesitan un registro de auditoría que muestre quién actuó, cuándo y en qué ámbito.

3. Revisa todo el ciclo de vida: conservación, copias de seguridad y eliminación

Pregunta por separado por los datos activos, los registros técnicos, el historial de auditoría, las copias de seguridad y los plazos técnicos de recuperación. Eliminar un registro de la interfaz no implica borrarlo de inmediato de todas las copias de seguridad; el proveedor debe indicar los plazos máximos y las restricciones de uso de las copias que se renuevan periódicamente.

Las copias de seguridad necesitan un responsable, una frecuencia, un plazo de conservación y pruebas periódicas de restauración. Que exista una copia no demuestra que el proveedor pueda recuperar los datos de la organización correcta.

4. Distingue el alojamiento, los subencargados y los proveedores elegidos por el salón

La lista de subencargados debe identificar la entidad, la finalidad, los datos tratados, la ubicación y el mecanismo de transferencia. Un proveedor de pagos o una autoridad pública puede tener un rol diferente al del encargado de tratar los registros de clientes del salón.

Cuando un salón conecta su propia cuenta de SMS, aclara quién contrata con el operador, quién guarda las credenciales y quién es responsable de la base jurídica de los mensajes. Los secretos no deben aparecer en registros, URL ni documentación.

5. Exige pruebas proporcionales al riesgo

Una declaración de seguridad es el inicio de la conversación. Los controles clave requieren pruebas, registros, una lectura de la configuración efectiva o un informe de simulacro. Las evidencias deben incluir fecha, alcance, resultado y responsable de las correcciones.

Ariveno documenta públicamente el alcance de su acuerdo de tratamiento de datos, la conservación, los subencargados y las condiciones de exportación. Los detalles de infraestructura que podrían facilitar un ataque permanecen en documentación operativa de acceso controlado, fuera del contenido comercial.

Preguntas antes de firmar

• ¿Cómo se establece el contexto de la organización y se impide el acceso entre salones?
• ¿Qué roles existen y qué operaciones administrativas se auditan?
• ¿Cuánto tiempo se conservan los datos activos, los registros técnicos, los registros de auditoría y las copias de seguridad?
• ¿Con qué frecuencia se prueba la restauración y qué RPO/RTO se declara?
• ¿Cómo obtiene el salón una exportación completa y qué ocurre tras la finalización del servicio?
• ¿Qué subencargados reciben datos de los clientes del salón y con qué finalidad?
• ¿Cómo se gestionan los incidentes, las solicitudes de los interesados y las objeciones a los subencargados?
• ¿Cómo se guardan los secretos y se limita el acceso de los operadores?

Cambia de sistema de reservas sin adivinar ni perder el control.

Una buena migración no empieza con una importación. Primero define el alcance de los datos, quién responde de cada decisión, los criterios de calidad y el momento en que se puede cambiar con seguridad el enlace de reservas de los clientes.

1. Empieza con un inventario, no con un archivo CSV

Enumera dónde se guardan hoy los clientes, servicios, personal, recursos, citas futuras, consentimientos, notas y reglas de cancelación. Asigna a cada conjunto de datos un responsable del negocio y una decisión: migrar, archivar u omitir.

Separa los datos necesarios para continuar el servicio del historial que puede permanecer en un archivo de acceso controlado. Un alcance menor reduce errores, duplicados y el tratamiento innecesario de datos personales.

• clientes y datos de contacto con una base que permita seguir utilizándolos
• servicios, variantes, precios, duración y márgenes de tiempo
• personal, roles, horarios, ausencias y recursos compartidos
• solo las citas futuras necesarias después del cambio
• reglas de reserva, cancelación, recordatorios y consentimiento

2. Define las correspondencias y las reglas de calidad

Los nombres de las columnas no son un contrato. Define el formato de teléfono, la zona horaria, la detección de duplicados, los valores obligatorios y qué ocurre cuando no se reconoce un servicio o un miembro del equipo.

La simulación debe terminar con un informe: filas leídas, registros rechazados, duplicados, relaciones ausentes y una muestra para revisión manual. Un registro no válido no debe modificar silenciosamente el resto de la importación.

3. Haz un ensayo y un breve periodo de funcionamiento en paralelo

Configura primero los servicios, el personal y los recursos. Después realiza una simulación de importación sin publicar el nuevo enlace. Revisa una muestra de clientes y citas, incluidos márgenes de tiempo, pausas de procesamiento, ausencias y casos de equipos compartidos.

Durante el periodo en paralelo, designa un sistema como fuente de referencia para las nuevas reservas. No permitas que el personal registre las mismas citas de forma independiente en dos sistemas sin un procedimiento de conciliación.

4. Cambia de sistema solo después de cumplir criterios explícitos

El cambio incluye el enlace del sitio web, el Perfil de Empresa de Google, las redes sociales, los códigos QR y las instrucciones de recepción. Conserva la exportación original, el informe de importación y el registro de cambios, pero no conviertas un archivo local en un almacén de datos permanente.

El plan de vuelta atrás debe indicar cómo regresar al canal de reservas anterior cuando falle un caso crítico. No puede depender de que el personal reconstruya las citas de memoria.

Lista de comprobación antes del cambio

• Se han conciliado los recuentos de registros originales, válidos, rechazados y duplicados.
• Las citas futuras conservan el servicio, la persona, la hora, el precio y el recurso correctos.
• Los permisos del equipo se han probado con cuentas de distintos roles.
• Los procesos de reserva, cambio de cita, cancelación y recordatorio han superado un ensayo.
• El salón tiene una exportación actualizada y comprende todo el proceso de salida.
• El nuevo enlace, el código QR y el aviso a los clientes tienen un responsable y una hora de publicación.
• Se han documentado el umbral de vuelta atrás, el responsable de la decisión y el procedimiento.

Convierta las respuestas de un proveedor en una decisión práctica

Antes de cambiar de proveedor de reservas, identifica los datos de los clientes que tu salón realmente necesita y las personas que necesitan acceso. Una página de seguridad larga no toma esa decisión por usted. Úselo junto con el acuerdo de procesamiento, las reglas de retención, la lista de subprocesadores y las operaciones que puede inspeccionar durante una prueba. Mantenga sus preguntas lo suficientemente específicas como para que el proveedor pueda responderlas sin depender de una seguridad general.

El siguiente ejercicio sintético utiliza un salón con un propietario, un gerente y dos miembros del equipo. Contiene contactos y citas ficticias. Su objetivo es comprobar algunas cuestiones de compra: quién puede ver qué, cómo se prepara una exportación, qué dicen los documentos sobre la cancelación y si el equipo comprende los límites. No es una prueba de penetración ni una prueba de que cada control de seguridad haya sido auditado de forma independiente.

Cree un breve registro de decisión. Para cada pregunta, escriba el documento u operación del proveedor, la fecha revisada, la respuesta y cualquier punto no resuelto. Un punto sin resolver debería permanecer visible. Si la oferta de un proveedor depende de una suposición que no puede verificar, solicite una aclaración antes de transferir una lista de clientes real. Una prueba es un momento útil para hacer esto porque el costo de descubrir una discrepancia aún es limitado.

Identificar los roles para cada propósito de procesamiento

Para las citas ordinarias en el salón, el salón decide por qué procesa la información del cliente y el proveedor de reservas procesa los datos relevantes siguiendo sus instrucciones. Otros propósitos pueden tener diferentes roles. La facturación de la suscripción, la prevención del fraude y los registros legales del proveedor deben describirse por separado. Lea el acuerdo de procesamiento real en lugar de asumir que una oración sobre ser procesador cubre todas las operaciones.

El CEPD explica la distinción entre responsable y encargado y el contrato que rige su relación. Utilice esa guía para preguntar quién maneja las solicitudes de acceso, la devolución o eliminación de datos, los incidentes de seguridad y los cambios de subprocesador. El contrato debe brindarle una ruta viable para esas situaciones. Una dirección de contacto sin una explicación del alcance puede dejar poco clara la responsabilidad práctica.

Mantenga el ejercicio proporcionado. Un pequeño salón no necesita inventar un departamento jurídico completo, pero sí necesita saber qué documento se aplica y dónde plantear una pregunta concreta. Registre la versión del documento que revisó. Si el proveedor cambia una condición del material, compare la nueva versión con la decisión que tomó antes de mover los datos.

Minimiza los campos antes de migrar

Enumere los campos en la exportación de su cliente actual. Para cada campo, identifique el propósito y si lo necesita para futuras citas. Los nombres y canales de contacto pueden servir al proceso de reserva; una nota antigua de texto libre puede contener información que ya no tiene un propósito justificado. No importe todos los campos simplemente porque existe un archivo.

Separe las preferencias de citas de la información de salud, las contraindicaciones del tratamiento y otros detalles confidenciales. Un sistema de registro general no debería convertirse en un registro médico informal. Si su empresa necesita información especializada, evalúe la herramienta, la base legal y las salvaguardias adecuadas para ese propósito específico. La comodidad habitual de un campo de notas es insuficiente.

Distinga también los datos de contacto del permiso para enviar marketing. Migrar un número de teléfono o una dirección de correo electrónico no crea un nuevo permiso. Conserve la información que su empresa tiene derecho a utilizar y revise las reglas de cualquier canal promocional por separado. Evite convertir una migración de software en una campaña de marketing sin previo aviso a toda la base de datos antigua.

Inspeccionar permisos usando las cuentas que los necesitan

Cree usuarios de prueba para los roles disponibles en el producto y relevantes para su salón. Confirmar que el propietario puede administrar la instalación, mientras que otras personas sólo tienen las operaciones justificadas por su trabajo. Verifique la visualización de registros, el cambio de citas y la exportación de información por separado. El permiso para ver un calendario no implica la necesidad comercial de descargar la base de datos completa del cliente.

Utilice las operaciones normales autorizadas durante el ensayo. No investigue otro salón ni intente recuperar registros reales fuera de su organización. Una evaluación de compra puede comprobar el modelo de permiso descrito y algunos casos de la propia organización; una evaluación de seguridad intrusiva requiere un alcance autorizado separado. Mantenga esa distinción clara en el registro de decisiones.

Después de eliminar el acceso de una persona de prueba a través del proceso admitido, verifique que la persona ya no pueda realizar la operación relevante. Registre lo que probó y el resultado. Esto le dice algo concreto sobre su propia configuración. No justifica afirmar que se hayan probado todas las rutas de acceso posibles o que el proveedor esté certificado según un estándar que usted no haya verificado.

Lea el reclamo de ubicación con precisión

La información pública actual de Ariveno describe recursos de salón D1 separados y recursos privados R2 configurados para la jurisdicción de la UE, mientras que las páginas públicas se entregan a través del borde global de Cloudflare. Esas son declaraciones específicas sobre partes del servicio. No los convierta en una afirmación de que cada proceso técnico, elemento de metadatos y operación de subprocesador ocurre solo en un país.

Lea la lista de subprocesadores del servicio que planea utilizar. Identificar la organización, finalidad, alcance de los datos y transferir información cuando sea relevante. El procesamiento de pagos y una cuenta de SMS seleccionada por el salón pueden tener una relación diferente al almacenamiento de los datos de las citas del salón. Pregunta por la parte que afecta tu decisión en lugar de tratar a todos los proveedores como una lista indiferenciada.

Si su cliente o acuerdo comercial requiere una ubicación de procesamiento en particular, compare esa condición con la descripción contractual. Es posible que una declaración general de acogida de la UE no satisfaga un requisito más específico. No escriba un reclamo más sólido en su aviso de cliente que el que respaldan los documentos. El aviso debe describir el proceso que realmente utiliza.

Realizar una exportación en registros sintéticos

Cree un pequeño conjunto de clientes, servicios, miembros del equipo y citas ficticios. Utilice la operación del propietario para una exportación completa cuando esté disponible. Ariveno describe públicamente un paquete que contiene esos registros, configuraciones e imágenes originales del salón. Inspeccione el paquete en su propio dispositivo y compare su contenido con el alcance de la prueba. No asuma que un archivo descargado es útil hasta que pueda abrirlo.

Verifique las relaciones de registro y los formatos legibles. ¿Puedes decir qué cita pertenece a qué servicio y persona? ¿Las imágenes están presentes en la forma original descrita en la oferta? Registre la fecha de preparación y proteja el archivo descargado. Una exportación mueve una copia fuera del entorno del proveedor, por lo que su salón se hace responsable de dónde se guarda esa copia y quién puede acceder a ella.

No reclame una migración exitosa a otro proveedor basándose únicamente en una exportación. Un sistema receptor puede utilizar diferentes identificadores o formatos. Una prueba de salida útil separa la descarga de datos, su lectura, su asignación a un nuevo formato y la verificación del resultado de la recepción. Puede inspeccionar los primeros pasos durante la prueba sin prometer que se admitirán todos los destinos posibles.

Comprender la cancelación, retención y copias de seguridad

La información pública de Ariveno describe actualmente 30 días de acceso de lectura y exportación después de la cancelación y eliminación de datos operativos después de 90 días, sujeto a excepciones de retención legal y ciclo de respaldo. Lea los términos contractuales vigentes antes de decidir; La fecha de origen del artículo no sustituye a la versión que se aplica cuando se registra.

Pregunte qué sucede con los datos activos, los registros de facturación, los registros de seguridad y las copias de seguridad rotativas por separado. Esas categorías pueden tener diferentes plazos y restricciones justificadas. Eliminar una cita visible no establece que todas las copias hayan desaparecido inmediatamente. Su pregunta de compra es cómo se documenta y controla el ciclo de vida, incluida cualquier excepción que afecte a su salón.

Utilice la versión de prueba para localizar las instrucciones de cancelación y exportación. No cancele una cuenta de producción simplemente para probar la redacción. Si una pregunta sobre el ciclo de vida sigue sin respuesta en los documentos y en su cuenta de prueba, obtenga una respuesta antes de convertirla en una condición de su proceso comercial. Guarde la respuesta con el registro de decisión del proveedor.

Prepárese para una solicitud de un cliente o un incidente

Elija una solicitud ficticia, como una persona que solicita acceso a la información de su cita. Anote quién lo recibe, cómo se verifica la identidad, qué información está dentro del alcance y qué operación o ruta de soporte del proveedor ayuda a la respuesta. El RGPD contiene requisitos para los derechos de los interesados, pero el procedimiento de trabajo debe ajustarse a los registros que realmente posee su salón.

Para el ensayo de un incidente, utilice un escenario como la pérdida de un dispositivo del personal o una cuenta utilizada por la persona equivocada. Decidir quién cambia el acceso, quién investiga los hechos y quién revisa cualquier obligación de notificación. No conviertas el ensayo en un verdadero informe a una autoridad. El resultado debe ser una ruta de contacto y decisión que el propietario pueda utilizar cuando ocurra un evento real.

Guarde pruebas sin recopilar datos personales innecesarios. Un breve registro del evento, el alcance afectado, las decisiones y las acciones puede resultar más útil que copiar una base de datos completa de un cliente en una nota de incidente. La guía de registro de OWASP admite la exclusión de secretos y contenido confidencial innecesario de los registros; su propia rutina de apoyo e investigación debe seguir el mismo principio.

La agenda contiene datos personales

Nombre, teléfono, correo y una reserva vinculada a una persona son datos personales. También pueden serlo sus preferencias y las notas que permiten identificarla. El tamaño del salón no cambia esa naturaleza. La guía del EDPB para pequeñas empresas explica los principios de finalidad, exactitud, minimización y conservación. [2] Para aplicarlos, no necesitas empezar con una carpeta enorme de formularios. Necesitas saber qué recoges, para qué, dónde lo guardas y quién puede verlo.

Haz un inventario sencillo de agenda, correo, teléfono de recepción, mensajes, hojas de cálculo y archivos exportados. Anota qué información contiene cada lugar y quién lo administra. Una agenda protegida no compensa una copia completa enviada a una cuenta personal. Incluye proveedores que reciben datos para ejecutar una función, como comunicaciones o soporte. El inventario debe seguir el recorrido real de la información. Si el equipo utiliza un canal fuera del procedimiento porque es más cómodo, ese canal también existe.

Identifica responsable y encargado

El salón suele decidir por qué gestiona clientes y cómo organiza sus citas; para ese tratamiento actúa como responsable. Un proveedor que procesa esos datos siguiendo sus instrucciones puede actuar como encargado. Sin embargo, un mismo proveedor puede tener otros papeles para operaciones propias, por ejemplo facturación de su servicio. No asignes una única etiqueta a toda la relación sin revisar los tratamientos. El EDPB distingue los papeles por lo que cada parte decide y hace. [4]

Antes de contratar, revisa el acuerdo de tratamiento: instrucciones, confidencialidad, seguridad, subencargados, ayuda para responder a derechos y devolución o eliminación al terminar. Pregunta dónde encontrarás la versión vigente y cómo conocerás cambios relevantes. El contrato es una pieza necesaria de la relación, pero no demuestra por sí solo que el equipo trabaja de forma segura. Una firma no bloquea la pantalla de recepción ni retira acceso a quien dejó el salón la semana pasada. Ambas cosas requieren acciones concretas.

Recoge lo necesario para reservar

Para una cita habitual puede bastar con identidad operativa, contacto, servicio y horario. Evalúa cada campo adicional: qué decisión permite tomar y si existe otra forma menos intrusiva. No pidas fecha de nacimiento completa por costumbre cuando el proceso solo necesita verificar una condición concreta mediante un procedimiento apropiado. Explica las finalidades de forma comprensible. El RGPD exige una base jurídica para el tratamiento; la guía del EDPB explica que ejecutar una petición de servicio puede justificar determinados datos necesarios, pero no cualquier dato. [1][3]

Reserva y marketing deben analizarse por separado. Tener el correo para enviar una confirmación no concede permiso general para promociones. Además de una base bajo el RGPD, las comunicaciones comerciales electrónicas dependen de normas aplicables sobre ese canal. No conviertas la aceptación de condiciones de reserva en una autorización escondida para campañas. Mantén una forma de identificar el propósito del mensaje y de respetar la oposición o retirada cuando corresponda. La recepción necesita instrucciones prácticas, no interpretar cada conversación desde cero. [3][6]

No conviertas notas libres en historias de salud

Las alergias, diagnósticos, tratamientos o información sobre enfermedades pueden ser datos de salud. Su tratamiento requiere una base del artículo 6 y una condición adicional del artículo 9 del RGPD. [1][3] Escribir «consentimiento» junto a un campo no resuelve automáticamente esos requisitos. Tampoco una agenda comercial sustituye el procedimiento profesional para evaluar contraindicaciones. Ariveno no está destinado a documentación médica ni datos de salud; no utilices sus notas para construir esos registros.

Si la actividad exige documentos específicos, establece un proceso separado con asesoramiento competente, acceso limitado y conservación adecuada. La agenda puede indicar de forma neutral que una consulta previa está pendiente, siempre que el dato sea necesario y no revele más de lo requerido. No copies el contenido clínico para que «todo quede junto». Juntar información facilita algunas búsquedas, pero también aumenta lo que una cuenta comprometida podría revelar. La comodidad de recepción no es un criterio suficiente para ampliar el tratamiento.

Cada persona necesita un acceso propio

Utiliza identidades individuales cuando la herramienta las permita y concede acceso según la tarea. Quien presta un servicio no necesita necesariamente exportar toda la base de clientes. Quien cubre recepción durante una tarde no tiene por qué administrar facturación o permisos. El EDPB recomienda controles de acceso acordes con el riesgo, identificadores propios y retirada de permisos que ya no sean necesarios. [5] Comprueba qué permite realmente cada proveedor y registra los límites que debes compensar mediante organización.

Activa autenticación multifactor cuando esté disponible; este consejo no afirma que todos los sistemas la ofrezcan. Protege también el correo que permite recuperar la cuenta. Mantén dispositivos actualizados, bloqueo de pantalla y una forma segura de gestionar credenciales. No compartas la contraseña en un chat de equipo. Cuando alguien cambia de función o deja el salón, revisa cuenta, dispositivos y enlaces compartidos el mismo día que corresponde retirar acceso. Un proceso de salida claro evita depender de la memoria del propietario.

Exportar también exige proteger

Una exportación sirve para comprobar independencia del proveedor, responder a necesidades operativas o preparar una migración. A la vez, concentra información en un archivo fácil de copiar. Define quién puede exportar, dónde debe guardarse y cuándo se elimina la copia temporal. Evita carpetas abiertas y ordenadores compartidos sin control. La seguridad adecuada debe cubrir confidencialidad, integridad y disponibilidad; el EDPB incluye protección de dispositivos y capacidad de recuperación entre los controles que conviene evaluar. [5]

Prueba la recuperación con datos ficticios o un procedimiento autorizado. Verifica que el archivo se abre, conserva campos importantes y puede utilizarse para reconstruir información necesaria. No describas una exportación como copia restaurable si el proveedor no ofrece una restauración equivalente. Son funciones distintas. Pregunta por continuidad ante indisponibilidad y define una alternativa mínima de recepción: quién registra una solicitud y cómo se concilia después. No imprimas toda la base para resolver un problema que afecta únicamente a las citas del día.

Conservación y solicitudes de clientes

Establece periodos por finalidad y obligaciones locales. No existe un único plazo universal para todos los registros de un salón. La información contable, una cita futura y un contacto sin actividad pueden exigir criterios distintos. Documenta por qué conservas cada conjunto y cómo ejecutas la revisión. El EDPB recuerda que los datos no deben mantenerse más tiempo del necesario y que algunas obligaciones nacionales pueden exigir conservación de determinados documentos. [2] No borres registros obligatorios ni prolongues todo el archivo porque una parte deba conservarse.

Prepara un canal para solicitudes de acceso, rectificación, eliminación u otros derechos aplicables. Verifica identidad de forma proporcionada y localiza copias relevantes. No confundas el derecho individual de portabilidad con una garantía de migración completa del negocio. Ese derecho tiene condiciones y un alcance específico; la exportación comercial depende también del contrato y de la funcionalidad. [6] Designa quién responde y cómo registra la actuación. Si recepción recibe una solicitud, debe saber a quién trasladarla sin exponerla a todo el equipo.

Un incidente necesita decisiones rápidas

Si se pierde un dispositivo o se envía información a la persona equivocada, contiene primero el acceso y conserva los hechos necesarios: qué pasó, cuándo se conoció y qué datos podrían estar afectados. El responsable debe notificar una violación a la autoridad sin dilación indebida y, cuando sea posible, dentro de setenta y dos horas desde que tiene conocimiento, salvo que sea improbable que exista riesgo para los derechos y libertades. No todos los incidentes se notifican automáticamente. La evaluación y documentación importan. [1]

Prepara contactos del proveedor, responsable interno y asesor competente antes de necesitarlos. Como control mensual propuesto, revisa cuentas activas, una exportación protegida, el destino de las copias y un ejemplo de solicitud de cliente. Guarda fecha, resultado y corrección. No llames a esta lista una auditoría completa ni una certificación del salón. Es evidencia de controles concretos. La protección de datos mejora cuando cada riesgo tiene una persona responsable y una acción comprobable, en lugar de una promesa amplia que nadie puede demostrar.

Decide lo que queda sin resolver

Termine el ejercicio con las versiones de los documentos, las operaciones probadas y las preguntas sin resolver en un solo lugar. El propietario debe poder explicar por qué el proveedor se adapta al salón y qué responsabilidad recae en el salón. Evite una puntuación única como “completamente segura” que oculte un control de exportación faltante o una condición de procesamiento poco clara.

La prueba de 14 días de Ariveno requiere una tarjeta de pago y se renueva con la suscripción seleccionada a menos que la canceles dentro de las reglas actuales. Los SMS opcionales están separados. Utilice datos de prueba mientras inspecciona los permisos y exporta. Transfiera registros de clientes reales solo después de que se comprendan los documentos, su configuración y el propósito del procesamiento previsto.