Delve es acusada de engañar a los clientes mediante un esquema de “cumplimiento falso”.

Un artículo anónimo reciente publicado en Substack acusa a la startup especializada en cumplimiento regulatorio Delve de hacer creer a cientos de clientes que cumplen con las normativas de privacidad y seguridad, exponiéndolos potencialmente a responsabilidades penales bajo HIPAA y multas significativas según el GDPR.

Delve, una startup respaldada por Y Combinator, anunció el año pasado una ronda Serie A por 32 millones de dólares, con una valoración de 300 millones de dólares (la ronda estuvo liderada por Insight Partners). El viernes, la empresa intentó refutar las acusaciones en su blog, calificando el artículo de Substack como “engañoso” y afirmando que contiene numerosas afirmaciones inexactas.

El artículo de Substack está atribuido a “DeepDelver”, quien se describe a sí mismo como ex empleado de uno de los clientes de Delve.

DeepDelver relató haber recibido un correo en diciembre en el que se indicaba que la startup había filtrado una hoja de cálculo con informes confidenciales de clientes. Aunque el CEO de Delve, Karun Kaushik, aseguró posteriormente a los clientes en otro correo que seguían cumpliendo con las normativas y que ninguna parte externa había accedido a datos sensibles, DeepDelver afirmó que ellos y otros clientes sospecharon algo.

“Al estar todos insatisfechos con la experiencia con Delve y percibir algo sospechoso, decidimos unir nuestros recursos e investigar juntos”, escribieron.

¿Cuál fue su conclusión? Que Delve logra su supuesto estatus de ser la plataforma más rápida al generar pruebas falsas, elaborar conclusiones de auditores para empresas que simplemente validan los informes sin cuestionamientos, y omitir requisitos clave del marco normativo mientras les dice a los clientes que han cumplido plenamente.

DeepDelver detalló estas acusaciones, afirmando que la startup proporciona a sus clientes pruebas fabricadas de reuniones de directorio, pruebas y procesos que nunca tuvieron lugar, obligándolos luego a elegir entre aceptar esas pruebas falsas o realizar un trabajo mayormente manual con poca automatización real o inteligencia artificial.

También sostuvo que casi todos los clientes de Delve parecen haber utilizado dos firmas de auditoría, Accorp y Gradient, que describió como parte de la misma operación, con sede principalmente en India y solo una presencia nominal en Estados Unidos.

Según ellos, esas firmas simplemente validan los informes creados por Delve. Por ello, DeepDelver afirmó que la startup invierte la estructura normal de cumplimiento: “Al generar conclusiones de auditores, procedimientos de prueba e informes finales antes de que se realice cualquier revisión independiente, Delve se posiciona tanto como implementador como examinador. Esto no es un mero detalle técnico; es un fraude estructural que invalida todo el certificado”.

Además de acusar a Delve de engañar a sus clientes, DeepDelver señaló que la startup también ayuda a esos clientes a engañar al público al publicar páginas de confianza que listan medidas de seguridad que en realidad nunca se implementaron.

En cuanto a su propia relación con Delve, DeepDelver indicó que su empresa no ha publicado su página de confianza y ya no depende de la startup para cumplir con las normativas.

Delve respondió a las acusaciones afirmando que no emite informes de cumplimiento. En lugar de eso, se describe a sí misma como una “plataforma de automatización” que recopila información relacionada con el cumplimiento y luego brinda acceso a esos datos a los auditores.

“Los informes finales y las opiniones son emitidos únicamente por auditores independientes y licenciados, no por Delve”, declaró la empresa.

Delve también indicó que sus clientes pueden optar por trabajar con un auditor de su propia elección o con uno de la red de firmas de auditoría independientes y acreditadas de la empresa. Esas firmas, según la startup, son “empresas establecidas ampliamente utilizadas en toda la industria, incluso por otras plataformas de cumplimiento”.

En respuesta a la acusación de proporcionar pruebas falsas a los clientes, Delve sostuvo que simplemente ofrece “plantillas para ayudar a los equipos a documentar sus procesos de acuerdo con los requisitos de cumplimiento, al igual que lo hacen otras plataformas de este tipo”.

“Las plantillas preliminares no son lo mismo que ‘pruebas prellenadas’”, afirmó la empresa.

Delve añadió que está “investigando activamente cualquier fuga de información” y que “todavía está analizando el artículo de Substack”.

TechCrunch envió un correo electrónico solicitando comentarios adicionales a la dirección de contacto en el sitio web de Delve, pero el correo fue devuelto. También hemos contactado a DeepDelver para obtener más comentarios.