Consulta:

Referencia: Sección Suministros Requeridos – Especificaciones Técnicas, págs. 36 a 38; Condiciones Contractuales, pág. 42 y siguientes.
Texto observado: “[El PBC no contiene previsión expresa sobre la restitución y eliminación de los datos al término del contrato.]”
Fundamento: Concluido el plazo de 24 meses, la información generada durante la prestación (casos, evidencias, hallazgos, históricos de alertas) permanecerá alojada en la plataforma del fabricante. El PBC no establece obligación de exportación ni de eliminación segura, ni el formato ni el plazo aplicables. La definición de estos extremos incide en el alcance de la prestación y, por tanto, en su costo.
Solicitud: Se solicita a la Convocante aclarar si al término del contrato el proveedor deberá entregar una exportación de la información generada durante la prestación y, en su caso, en qué formato y plazo; así como si se exigirá constancia de eliminación segura de la información en la plataforma del fabricante.

Consulta:

Referencia: Sección Suministros Requeridos – Especificaciones Técnicas, cuadro EETT, fila “Generalidades”, pág. 36.
Texto observado: “La protección deberá contemplar al menos un dominio principal y al menos 20 subdominios.”
Fundamento: El propio PBC establece, en el apartado Especificaciones Técnicas “CPS” (pág. 34), que “Las EETT deberán especificar todas las características y requisitos técnicos esenciales y de funcionamiento, incluyendo los valores máximos o mínimos aceptables o garantizados, según corresponda”. La fórmula “al menos” fija un piso pero no un techo. Considerando que la modalidad de contratación es CONTRATO CERRADO (pág. 35) y que el licenciamiento de las soluciones de protección de marca se dimensiona habitualmente en función de la cantidad de activos monitoreados, la ausencia de un valor máximo impide a los oferentes cotizar sobre una base común y verificable, en desmedro de los principios de Igualdad y Libre Competencia y de Predictibilidad (Ley N° 7021/22, Art. 4°, incs. d) e i)) y del deber de que las bases sean “suficientemente claras, objetivas e imparciales” (Ley N° 7021/22, Art. 45).
Solicitud: Se solicita a la Convocante precisar la cantidad exacta —o el valor máximo— de dominios principales y de subdominios que integrarán el alcance del servicio durante los 24 meses; y aclarar si dicho conteo comprende únicamente los activos declarados por el BCP al inicio del servicio o también los dominios y subdominios que la herramienta detecte durante la ejecución. Subsidiariamente, se solicita indicar el procedimiento y el eventual costo aplicable en caso de que el BCP requiera incorporar activos adicionales durante la vigencia del contrato.

Consulta:

Referencia: Especificaciones Técnicas, Condiciones Generales, “Confidencialidad de la información”, pág. 38; y Sección Formularios Adicionales, “Formulario – Modelo Compromiso de Confidencialidad de la Información, a ser suscripto por el personal del Proveedor”.
Texto observado: “De acuerdo a lo indicado en la Sección Especificaciones técnicas y Suministros Requeridos, el personal del Proveedor deberá firmar un Compromiso de Confidencialidad de la Información en los términos del Formulario de la Sección Formularios Adicionales.”
Fundamento: En un modelo de prestación SaaS, la operación de la plataforma es ejecutada por personal del fabricante, generalmente en el exterior y sin relación de dependencia con el oferente, sujeto a los marcos de confidencialidad corporativos del propio fabricante. Una lectura extensiva de la cláusula —que alcanzara a la totalidad del personal del fabricante— resultaría de cumplimiento imposible para cualquier oferente que no sea el fabricante mismo, con efecto restrictivo sobre la concurrencia (Ley N° 7021/22, Art. 45).
Solicitud: Se solicita a la Convocante confirmar que la obligación de suscribir el Formulario de Compromiso de Confidencialidad alcanza exclusivamente al personal del oferente afectado a la prestación del servicio ante el BCP, y que, respecto del personal del fabricante que opera la plataforma, se tendrá por satisfecha la exigencia mediante la acreditación del marco de confidencialidad y protección de la información del fabricante.

Consulta:

Referencia: Especificaciones Técnicas, fila “Generalidades”, pág. 36 (“Plataforma SaaS”) y fila “Protección de Ejecutivos del BCP”, pág. 37.
Texto observado: “Plataforma SaaS como soporte al monitoreo, disponible 24/7/365. […] Detección de exposición de ejecutivos del BCP: escaneo de documentos, foros y paste sites para datos personales.”
Fundamento: El servicio implica el tratamiento de datos personales de los ejecutivos del BCP sobre una plataforma SaaS. El PBC no establece requisito alguno sobre la jurisdicción de alojamiento de los datos, ni sobre certificaciones del entorno del fabricante, ni sobre el marco de tratamiento aplicable. La definición de estos extremos incide directamente en la arquitectura y el costo de la solución ofertada, y su omisión puede dar lugar a interpretaciones disímiles entre oferentes en la etapa de evaluación (Ley N° 7021/22, Art. 45).
Solicitud: Se solicita a la Convocante confirmar si admite que los datos procesados por la plataforma SaaS —incluidos los datos personales de los ejecutivos monitoreados— sean alojados y tratados en centros de datos del fabricante ubicados fuera de la República del Paraguay; y aclarar si se exigirá al fabricante la acreditación de certificaciones de seguridad de la información sobre el entorno de prestación del servicio, indicando en su caso cuáles y su medio de acreditación.

Consulta:

Referencia: Especificaciones Técnicas, Condiciones Generales, “Planificación y documentación”, pág. 38.
Texto observado: “Una vez finalizada la implementación, el proveedor deberá presentar un documento en el cual se detalle todos los datos necesarios como URLs, direcciones IP, credenciales de usuario y de sistema, configuraciones y otros.”
Fundamento: La consignación de credenciales de usuario y de sistema en un documento entregable constituye una práctica desaconsejada por las líneas base de gestión de secretos, particularmente en el ámbito de una entidad financiera. Asimismo, tratándose de una plataforma SaaS multi-inquilino, las direcciones IP de la infraestructura del fabricante pueden pertenecer a rangos dinámicos compartidos y su divulgación puede encontrarse restringida por las políticas de seguridad del propio fabricante.
Solicitud: Se solicita a la Convocante confirmar que las credenciales serán entregadas por un canal seguro y bajo custodia (sobre cerrado, gestor de secretos institucional del BCP o mecanismo equivalente que el área administradora del contrato defina), y no consignadas en el documento de configuraciones; y que la información de direcciones IP se limitará a los rangos que resulten necesarios para el establecimiento de listas de permitidos, conforme a lo que el fabricante publique a tal efecto.

Consulta:

Referencia: Sección Suministros Requeridos – Especificaciones Técnicas, págs. 34 a 38.
Texto observado: “Se deberán evitar referencias a marcas, números de catálogos u otros detalles que limiten los materiales o artículos a un fabricante en particular. Cuando sean inevitables dichas descripciones, siempre deberá estar seguida de expresiones tales como “o sustancialmente equivalente” u “o por lo menos equivalente”, remitiendo la aclaración respectiva. (PBC, apartado Especificaciones Técnicas “CPS”, pág. 34)”
Fundamento: El propio PBC enuncia como directriz la incorporación de la fórmula de equivalencia cuando las especificaciones aludan a características que puedan limitar la concurrencia. Sin embargo, el cuadro de Especificaciones Técnicas incorpora varios requisitos formulados por la tecnología de implementación o por la nomenclatura comercial —entre otros, “webhooks”, “widgets”, “conectores nativos”, “modelos adaptativos” e “integración con LDAP y/o Active Directory”— sin que se prevea una cláusula general de equivalencia ni se identifique el órgano y el criterio conforme al cual se evaluará la equivalencia propuesta por un oferente. Ello se aparta del Art. 58° del Decreto N° 2264/24, en cuanto exige que las especificaciones técnicas se establezcan “con la mayor amplitud […] con el objeto de que concurra el mayor número de oferentes”.
Solicitud: Se solicita a la Convocante incorporar, mediante adenda, una cláusula general de equivalencia técnica en la Sección Suministros Requeridos – Especificaciones Técnicas, en los siguientes términos: “Toda referencia a denominaciones comerciales, protocolos, mecanismos o tecnologías de implementación específicas se entenderá formulada a título referencial. Se admitirá toda solución que acredite satisfacer la misma función y nivel de desempeño mediante mecanismos sustancialmente equivalentes, correspondiendo al oferente acreditar dicha equivalencia con documentación técnica del fabricante”.

Consulta:

Referencia: Cuadro de Especificaciones Técnicas, columna “Ofrecido (Campo a ser completado por el oferente)”, pág. 36; y Requisitos documentales para evaluar el criterio de capacidad técnica, literal d), pág. 28.
Texto observado: “Nota en carácter de declaración jurada en la cual se incluya el cuadro de especificaciones técnicas, debidamente completado conforme a los requisitos previstos en el apartado Suministros Requeridos - Especificaciones Técnicas.”
Fundamento: El PBC no precisa el nivel de detalle exigido en la columna “Ofrecido”. La ausencia de una pauta uniforme puede derivar en que unas ofertas consignen únicamente la expresión “cumple” y otras desarrollen la descripción funcional, generando bases de comparación disímiles y un margen de apreciación no reglado en la etapa de evaluación (Decreto N° 2264/24, Art. 59°).
Solicitud: Se solicita a la Convocante precisar si en la columna “Ofrecido” resulta suficiente consignar la expresión “CUMPLE”, o si deberá describirse en cada fila el modo concreto en que la solución ofertada satisface el requisito, indicando en su caso la extensión esperada. Se solicita asimismo confirmar que será admitida la descripción de mecanismos funcionalmente equivalentes cuando estos satisfagan la necesidad expresada en el requisito.

Consulta:

Referencia: Cuadro de Especificaciones Técnicas, columna “Ofrecido (Campo a ser completado por el oferente)”, pág. 36; y Requisitos documentales para evaluar el criterio de capacidad técnica, literal d), pág. 28.
Texto observado: “Nota en carácter de declaración jurada en la cual se incluya el cuadro de especificaciones técnicas, debidamente completado conforme a los requisitos previstos en el apartado Suministros Requeridos - Especificaciones Técnicas.”
Fundamento: El PBC no precisa el nivel de detalle exigido en la columna “Ofrecido”. La ausencia de una pauta uniforme puede derivar en que unas ofertas consignen únicamente la expresión “cumple” y otras desarrollen la descripción funcional, generando bases de comparación disímiles y un margen de apreciación no reglado en la etapa de evaluación (Decreto N° 2264/24, Art. 59°).
Solicitud: Se solicita a la Convocante precisar si en la columna “Ofrecido” resulta suficiente consignar la expresión “CUMPLE”, o si deberá describirse en cada fila el modo concreto en que la solución ofertada satisface el requisito, indicando en su caso la extensión esperada. Se solicita asimismo confirmar que será admitida la descripción de mecanismos funcionalmente equivalentes cuando estos satisfagan la necesidad expresada en el requisito.

Consulta:

Referencia: “Otros criterios que la convocante requiera”, literal a), pág. 29.
Texto observado: “El BCP se reserva el derecho de solicitar a los oferentes que cumplan con los documentos sustanciales, una demostración de las funcionalidades de la herramienta ofrecida, si así lo considerase necesario, con el fin de verificar el cumplimiento de los requerimientos establecidos en el cuadro de Especificaciones Técnicas […]. Dicha demostración para la evaluación de ofertas podrá realizarse a elección del BCP en forma remota o presencial en el BCP […], en la fecha y hora a ser comunicada por escrito […].”
Fundamento: La demostración se configura como una instancia de verificación con incidencia directa en la evaluación técnica, pero el PBC no establece: (i) si se requerirá a la totalidad de los oferentes que superen el examen documental o de manera selectiva; (ii) la antelación mínima con que será comunicada; (iii) las funcionalidades concretas que serán objeto de demostración; (iv) el criterio conforme al cual se juzgará el resultado; (v) si se labrará acta y si esta será puesta en conocimiento de los oferentes; ni (vi) la consecuencia aplicable cuando una funcionalidad no pueda exhibirse en un entorno de demostración por requerir configuración previa o datos productivos del BCP. El Art. 59° del Decreto N° 2264/24 dispone que “la convocante deberá detallar de manera objetiva y clara en las bases de la contratación los criterios de evaluación a ser aplicados” y que estos “deberán garantizar la posibilidad de competencia e irán acompañados de especificaciones que permitan comprobar de manera efectiva la información facilitada por los oferentes”. En su redacción actual, la cláusula no satisface ese estándar.
Solicitud: Se solicita a la Convocante precisar, mediante adenda: (i) que la demostración, de requerirse, será solicitada a todos los oferentes que hayan cumplido con los documentos sustanciales, en igualdad de condiciones; (ii) la antelación mínima de la convocatoria a la demostración; (iii) el listado de funcionalidades que serán objeto de verificación; (iv) que se labrará acta con constancia del resultado, la cual será comunicada a los oferentes; y (v) que la imposibilidad de exhibir en el entorno de demostración una funcionalidad que requiera configuración previa o datos productivos del BCP no dará lugar a la descalificación cuando su existencia se encuentre acreditada mediante la documentación técnica del fabricante.

Consulta:

Referencia: Plan de prestación de los servicios, pág. 40; Condiciones Generales, “Planificación y documentación”, pág. 38.
Texto observado: “El plazo de prestación del servicio será de 24 (veinticuatro) meses, contados a partir de la fecha a ser consignada en la Orden de Inicio de Servicio, que será emitida por el área administradora del contrato, dentro de los 10 (diez) días hábiles desde la suscripción del Contrato.”
Fundamento: El PBC exige, antes del inicio de los trabajos, la presentación de la documentación de configuraciones y de un cronograma de implementación (pág. 38), así como la capacitación de al menos 4 funcionarios (pág. 37). Estas actividades demandan un período de puesta en marcha. Si el plazo de 24 meses se computa desde la Orden de Inicio y la suscripción con el fabricante se activa en ese mismo momento, el período efectivo de servicio productivo resultará inferior a los 24 meses contratados; si, en cambio, la suscripción debe cubrir 24 meses posteriores a la finalización de la implementación, el oferente deberá adquirir un plazo mayor. La diferencia incide directamente en el precio.
Solicitud: Se solicita a la Convocante aclarar si los 24 (veinticuatro) meses de prestación comprenden el período de implementación, configuración inicial y capacitación, o si dicho período es adicional; y confirmar desde qué momento se considerará iniciada la vigencia de la suscripción a los efectos de la conformidad del servicio.