Seguridad de datos y fuentes confiables: la lección de Urbital para el proptech en PR

Un modelo de valuación automatizada (AVM) como el que corre Urbital en Puerto Rico solo es tan bueno como los datos que lo alimentan. Y en el momento en que ese número — el precio estimado de una propiedad — entra en la conversación de un banco hipotecario o un corredor, deja de ser "solo una app": se convierte en un insumo para una decisión financiera real.

Eso trae obligaciones legales concretas, no solo buenas intenciones. La Safeguards Rule de la FTC (bajo Gramm-Leach-Bliley) ya no aplica solo a bancos: desde las enmiendas de 2023 cubre explícitamente a "finders" — empresas que conectan compradores y vendedores o que facilitan financiamiento — y a tasadores y otras entidades no bancarias que manejan información no pública de clientes. Eso incluye programa de seguridad escrito, cifrado, MFA y pruebas de penetración como mínimo. Desde mayo de 2024, además, hay que notificar a la FTC en un plazo de 30 días si un incidente afecta a 500 o más consumidores (ver guía oficial de la FTC y el aviso sobre la regla de notificación).

Pero hay una segunda capa que a veces se olvida: de dónde viene el dato, no solo cómo se protege. Un AVM alimentado con listados sin verificar o con "scraping" no auditado produce valuaciones sistemáticamente distintas a uno que parte de fuentes fidedignas — en Puerto Rico eso significa registros de venta real, el CRIM como fuente de tasación catastral, y comparables verificables, no solo lo que aparece publicado en un anuncio. Cuando el resultado de Urbital Pro entra al expediente de suscripción de un banco, un set de comparables inflado o mal depurado no es un bug de interfaz: es riesgo de underwriting que alguien va a pagar más adelante.

En la práctica, esto se traduce en controles concretos y verificables, no en una política PDF que nadie lee: cifrado en tránsito y en reposo para los datos de propiedades y usuarios, acceso segmentado por rol (consumidor, corredor, banco no deberían ver ni auditar lo mismo), bitácora de quién consultó qué valuación y cuándo, y una relación contractual clara con cada fuente de datos upstream sobre frescura y exactitud — no basta con "lo sacamos de internet".

Vale también desmontar un mito común: que datos "agregados" o "públicos" no cargan obligación de privacidad. Un perfil de propiedad que combina dirección, historial de venta, tasación y patrón de búsqueda de un usuario específico puede re-identificar a una persona aunque cada dato suelto parezca inofensivo por separado — el mismo principio que aplica a cualquier data broker, no solo a plataformas de bienes raíces.

Para una proptech puertorriqueña que sirve tanto al consumidor final como a bancos hipotecarios y corredores vía Urbital Pro, tratar la seguridad de los datos y la confiabilidad de las fuentes como dos temas separados es exactamente cómo un AVM pierde credibilidad frente a un suscriptor de banco. Tratarlos como un solo programa — fuentes verificadas alimentando un pipeline que cumple GLBA de verdad — es lo que convierte una valuación automatizada en algo que un oficial de crédito puede realmente usar.