Desde que Santiago Peña asumió la presidencia en agosto de 2023, la empresa tecnológica ITTI Saeca del Grupo Vázquez ha accedido a 17 contratos públicos, en comparación con los 11 que obtuvo en el gobierno de Mario Abdo.  Los vínculos con la administración actual no son ningún secreto. Peña había consignado en sus declaraciones juradas unos 350 millones de guaraníes en bonos de ITTI y acciones por más de G 6 mil millones en Ueno Holding, mientras que el presidente del Banco Central, Carlos Carvallo Spalding, estuvo al frente de la financiera Ueno (hoy banco) hasta el año pasado. Todas son empresas del mismo grupo. Estos nexos, más el rápido ascenso de Ueno como banco, aseguradora, inversora y mercado de bolsa, han acaparado la atención pública. Mientras que ITTI ha pasado desapercibida.

Sin embargo, sus contrataciones con el Estado arrojan luz sobre esta empresa del siglo XXI en un país sin ley integral de protección de datos personales. El Surtidor accedió a los contratos con tres instituciones públicas y encontró cómo estas le dan a ITTI un acceso privilegiado a datos personales —algunos de carácter sensible— y datos crediticios de la población paraguaya. Esto, según una fuente del sector fintech, puede redituar al Grupo Vázquez una ventaja para el desarrollo de productos y servicios de sus diversos negocios. 

Una muestra es el acuerdo de patrocinio con la Secretaría Nacional de Deportes (SND), que esta institución presentó como una alianza por la que Ueno se convirtió en su espónsor. Pero el acuerdo, según el documento oficial, lo firmó con ITTI. Las cláusulas establecen que la secretaría debe dar preferencia a empresas del Grupo Vázquez en futuras contrataciones. También la instalación de cámaras de vigilancia con reconocimiento facial (lo que permite acumular datos biométricos) y la apertura de cuentas bancarias para funcionarios —el grupo es dueño de Ueno Bank—. Una fuente especializada en contrataciones públicas califica como irregular que ITTI comprometa productos y servicios de otras empresas, ya que cada una tiene personería jurídica independiente y el acuerdo no especifica que la tecnológica esté facultada para representar a otras firmas, aunque sean del mismo grupo.

ITTI también resultó adjudicada con una licitación de la Agencia Financiera de Desarrollo (AFD). Se trata de un contrato directo para la conexión y almacenamiento en la nube de las bases de datos de Che Róga Porã, el programa de viviendas del gobierno de Peña, en el que Ueno es uno de los bancos que da préstamos. De esta manera, ITTI también tiene disponible la información de miles de familias paraguayas que quieren acceder a créditos. Solo de julio a octubre, casi 13 mil personas habían solicitado un préstamo a través de la web del programa.

La firma tecnológica, además, ganó tres licitaciones para el desarrollo y mantenimiento del homebanking del Banco Nacional de Fomento (BNF), que tiene más de 1,4 millones de clientes. En estos llamados se presentaron las mismas tres empresas y, en todos los casos, ITTI propuso la oferta más baja. Incluso llegó a ofrecer sus servicios por un valor que estaba 76 por ciento por debajo de las otras firmas. Al igual que en Che Róga Porã, estos contratos no establecen un resarcimiento para el Estado en caso de vulneraciones a las bases de datos. 

Fuentes del sector financiero, que hablaron en condición de anonimato con El Surtidor, advierten sobre la complicidad del gobierno de Peña en la entrega de datos masivos crediticios. No descartan que esta concentración de tecnología financiera, además de las exclusividades cedidas al Grupo Vázquez, faciliten la formación de un monopolio.

El patrocinio a la SND: recolección masiva de datos y preferencia de contratos

El 29 de noviembre de 2023, la Secretaría Nacional de Deportes anunció el patrocinio de Ueno Bank como una alianza estratégica público-privada con el objetivo de fortalecer el deporte. Para entonces, varios clubes ya habían cambiado los nombres de sus estadios, entre ellos Olimpia, que pasó a llamarse Estadio «Ueno Osvaldo Domínguez Dibb»; y Cerro Porteño, que denominó al Estadio General Pablo Rojas «Ueno La Nueva Olla». La histórica casa de la Albirroja también cambió a «Estadio ueno Defensores del Chaco». Siguiendo la misma tendencia, el polideportivo de la institución responsable de la política pública de deportes se convirtió en el «Ueno SND Arena».

Aunque el Grupo Vázquez y la SND destacaron a Ueno en la publicidad del patrocinio, un pedido de información pública de El Surtidor revela que el acuerdo fue firmado entre el ministro César «Tigre» Ramírez e ITTI Saeca, no con Ueno Bank, el 9 de octubre del año pasado. Según el documento, la propuesta económica de ITTI como patrocinador oficial consiste en pagos a la secretaría de 400 mil dólares anuales desde el 2024 hasta el 2027. El pago acordado para diciembre de 2023 fue de 133 mil dólares. 

El cambio de nombre del polideportivo a «Ueno» no es lo único.  Según el documento, ITTI se compromete a brindar a la SND productos y servicios de otras empresas del Grupo Vázquez. Por ejemplo, los funcionarios de la secretaría podrán habilitar cuentas de ahorro (el banco del Grupo Vázquez es Ueno Bank) y acceder a redes de pago, billeteras electrónicas y la bolsa —el grupo tiene Ueno Mercado de Bolsa—. El compromiso estipula, además, una serie de exclusividades para diversas marcas del grupo, como la instalación de cuatro centros de atención al cliente para la red de cobranzas y cajeros Wepa en el predio de la SND. También prevé la preferencia en la contratación de Ueno Seguros, del servicio de ticketing de la Red UTS, de soluciones tecnológicas con ITTI y servicios de pagos de la Red Digital.

Sin embargo, un análisis jurídico independiente de una fuente especializada en contrataciones públicas señala que el acuerdo no contempla el porqué ITTI tiene la potestad de ofrecer los productos y servicios de otras empresas, por más que estas  sean del mismo grupo, ya que son personerías jurídicas independientes y tienen sus propias representaciones legales. Explica que ITTI tampoco tiene la facultad de abrir cuentas bancarias porque es una compañía que se dedica al rubro de tecnología y no a la banca comercial. Según el análisis, debería existir un convenio marco que habilite este tipo de prestaciones y que este debería aparecer referenciado en el acuerdo de patrocinio, algo que no ocurre en este caso, por lo que considera que se trata de una irregularidad. Ni siquiera en la sección de transparencia de la SND, donde están los convenios y contrataciones por mes y año, figuran el contrato de patrocinio o algún documento marco que establezca una alianza estratégica con el Grupo Vázquez, ITTI Saeca o Ueno Bank. 

Sobre la comunicación del acuerdo como una alianza con Ueno y no con ITTI, Silvia Patiño, directora de asesoría jurídica de la SND, respondió a El Surtidor que ITTI «es el vehículo empresarial de Ueno para gestionar sus patrocinios y tiene la documentación que le acredita» para el efecto. En cuanto a la preferencia en futuras contrataciones, alegó que esto no se concretaría si es que los precios de las marcas del grupo son superiores a los de otras empresas. También dijo que los funcionarios siguen cobrando vía BNF.

Por su parte, César Astigarraga, presidente de ITTI Saeca, dijo a El Surtidor que el Grupo Vázquez tomó la decisión estratégica de promocionar a Ueno como patrocinador de la SND para posicionarlo en el mercado y que la opción de habilitar cuentas de ahorro a funcionarios también responde a eso. Sobre la representación legal de las marcas, explicó que ITTI tiene la potestad de hacerlo porque forma parte del mismo conglomerado e incluso algunas de las empresas, entre ellas Wepa y la Red UTS, son de la tecnológica. Confirmó la preferencia en contratos, «siempre y cuando tengamos el mejor precio».

El acuerdo de patrocinio establece que ITTI proporcionará cámaras de seguridad con reconocimiento facial (biometría) en el polideportivo, herramientas para recolección de datos estadísticos y desarrollo de una base de usuarios de la SND. En la práctica, esto significa que la empresa podrá registrar datos como las características físicas de quienes ingresen a la SND. Estos datos son considerados de carácter sensible. Su recolección indiscriminada y masiva no solo representa una intromisión a la privacidad de las personas. Su utilización puede decantar en otras vulneraciones a los derechos de las personas, como el de la no discriminación y la libertad de expresión.

Oficinas de ITTI Saeca en Asunción, Paraguay.

El contrato también prevé la provisión de reportes en tiempo real sobre el comportamiento y consumo de los espectadores, perfilamiento de asistentes, al igual que notificaciones sobre futuros eventos y entradas disponibles. Se incluye la implementación de sistemas de pago sin efectivo (cashless), servicios de facturación electrónica, consultoría para automatización de procesos y un canal de e-commerce para la venta de productos de merchandising.

A principios de noviembre de este año, la Cámara de Diputados postergó por quinta vez el tratamiento del proyecto de ley de protección de datos personales. La iniciativa busca proteger de forma integral los datos sensibles, como los biométricos, y establece la obligatoriedad del consentimiento informado del ciudadano para la recolección, almacenamiento, tratamiento y transmisión de sus datos. Además, prevé multas de hasta G 3.700 millones para quienes transmitan esta información sin consentimiento o la usen para perfilar. Un ejemplo de esto son los mensajes de texto, vía WhatsApp, y llamadas que ofrecen promociones de telefónicas, financieras o casas de electrodomésticos a cualquier hora, sin que la persona haya entregado sus datos a estas empresas. Desde 2021 rige la Ley N° 5830 que prohíbe este tipo de mensajes publicitarios en los celulares, sin embargo, su efectividad recae en los ciudadanos y no en el Estado o las empresas.

Bruno Zubizarreta, jefe de gabinete de la SND, confirmó que las cámaras con registro biométrico serán instaladas en la entrada de la Arena y en el predio de la secretaría. Según el presidente de ITTI, estos datos se almacenarán en Amazon Web Services, un servicio de almacenamiento con sede en Estados Unidos, donde la empresa tiene una filial. Astigarraga aseguró que ITTI no tiene acceso a los datos personales «sin el consentimiento» de los ciudadanos. Mientras, la directora jurídica de la SND adelantó que trabajarán en un contrato específico para asegurar que estos datos sensibles no sean vulnerados.

El Grupo Vázquez ha logrado posicionar a Ueno Bank en el mundo deportivo desde 2023. Su marca es visible en diferentes estadios y recintos deportivos y en la transmisión televisiva de los torneos de fútbol y otros deportes. Además de patrocinar a los dos clubes de fútbol más grandes del país, Olimpia y Cerro Porteño, el Grupo Vázquez a través de Ueno es patrocinador oficial de la Asociación Paraguaya de Fútbol, de la Selección Paraguaya y del estadio Defensores del Chaco, donde se juegan partidos de la Copa América y eliminatorias del mundial.

Che Róga Porã, una mina dorada de datos

La Agencia Financiera de Desarrollo (AFD) adjudicó un contrato directo de 164 millones de guaraníes a ITTI Saeca para la conexión y almacenamiento de datos de Che Róga Porã del Ministerio de Vivienda (MUVH). La empresa fue la única que se presentó a la licitación. Así, el Grupo Vázquez no solo participa del programa con los préstamos que ofrece su banco Ueno. También lo hace a través del desarrollo del sistema que sostiene esta política emblemática del gobierno.

En Che Róga Porã, las familias interesadas en acceder a un crédito para la compra de vivienda deben registrarse en la web y aceptar una serie de términos y condiciones. Gerardo Ruíz Díaz, miembro del directorio de la AFD, dijo a El Surtidor que los postulantes validan su ingreso con reconocimiento facial, que es un servicio que provee ITTI. Sobre la conexión, explicó que la web de Che Roga Porã está conectada a diferentes bases de datos con información crediticia de los paraguayos para preaprobar o rechazar una solicitud de crédito del programa. Algunas de ellas son la Central de Riesgo Crediticios del BCP, la Dirección Nacional de Ingresos Tributarios, el Instituto de Previsión Social y el buró de crédito —como Inforcomf—. 

Al consultarle a Ruíz Díaz si la proveedora tiene acceso a los datos crediticios y personales de los ciudadanos registrados, respondió que «ellos facilitan la plataforma y la información debería estar en la nube de almacenamiento de datos contratada». En los pliegos de esta contratación figura que ITTI provee la nube que almacena los datos del programa.

De julio a finales de octubre de este año, 12.631 personas ingresaron solicitudes en Che Róga Porã, según informó el Ministerio de Urbanismo ante el Congreso. El Surtidor solicitó los datos actualizados, pero en el ministerio nos dijeron que ellos debían solicitarlos a ITTI para proporcionarnos la información. Hasta el cierre de este artículo, no lo hicieron. César Astigarraga, por su parte, dice que ITTI no maneja los datos del programa.

El empresario también desmarca a ITTI del poder político. Asegura que ni el presidente Santiago Peña ni miembros de su gobierno influyeron en las adjudicaciones con el Estado. Según Astigarraga, ITTI desarrolló Che Róga Porã «prácticamente ad honorem» porque los 164 millones de guaraníes adjudicados no representan «ni el 10 por ciento» de lo que cuesta un producto como el desarrollado. Dijo que apostar por este programa forma parte del aporte de la empresa al país, más allá del gobierno de turno.

Si bien la firma pagó una garantía a la AFD, ni en los pliegos de bases y condiciones ni en el contrato final figuran cláusulas que obliguen a ITTI a resarcir al Estado por la eventual vulneración o hackeo de la base de datos de Che Róga Porã. Además, los documentos no especifican qué ente tiene la propiedad intelectual y el código fuente del sistema.

Astigarraga dijo que el desarrollo de la plataforma Che Róga Porã es propiedad intelectual de ITTI. Esto significa que, cuando termine el contrato con el Estado, todo eso quedará para la empresa. Como en el caso de los datos biométricos de las cámaras de la SND, los datos del programa de vivienda se almacenan en Amazon Web Services, Estados Unidos. Reiteró que la tecnológica tampoco puede acceder a esta información sin el consentimiento de los ciudadanos. Agregó que en los contratos privados de desarrollo tecnológico no se suelen incluir cláusulas de resarcimiento, ya que se sobrentiende la responsabilidad de la proveedora por velar la seguridad de los datos y el sistema.

Según fuentes especializadas del sector financiero, la ventaja del Grupo Vázquez es desproporcionada. El acceso masivo a datos crediticios a través de la contratación que ganó ITTI le puede permitir desarrollar productos y servicios para cualquiera de sus empresas a medida de las necesidades financieras de los ciudadanos. Creen que con la cesión indiscriminada de datos, el Grupo Vázquez ejecutaría una tarea que es del Estado, la de la inclusión financiera. También consideran que se consolida la privatización del acceso a créditos para derechos básicos, como los proyectos de vivienda.

La licitación para el desarrollo de Che Róga Porã se hizo por contratación directa, un mecanismo en el que los entes estatales invitan a empresas preseleccionadas para que presenten sus ofertas. Ruiz Díaz aseguró que se usó esta modalidad porque el monto cotizado era inferior a G 200 millones. Aunque la Ley N° 2051 de Contrataciones Públicas y su reglamentación estipulan esto, también establecen que se deben presentar tres ofertas para ejecutar la adjudicación. Asimismo, que, si no se alcanzan las tres ofertas mínimas, se puede realizar la contratación. ITTI fue la única oferente y, por lo tanto, la contratada. Según prensa de la DNCP, es común que las contrataciones directas se hagan con un solo oferente.

Una fuente que trabajó en el Estado —que por seguridad resguardamos su identidad—, explicó a El Surtidor que una contratación directa se realiza si el problema a solucionar es urgente y si en el mercado no hay diversidad de proveedores. En cambio, la AFD convocó a ocho empresas a presentar ofertas para la licitación, entre ellas varias que tienen adjudicaciones al menos desde 2013.

En la web de la DNCP también se encuentran los documentos públicos del proceso de cotización de la licitación. Estos revelan que ITTI aceptó la adjudicación por G 24 millones menos de lo que cotizó. A menudo, es la firma que presenta ofertas más bajas en las licitaciones. Según el contrato, la compañía fue adjudicada por G 77 mil por operación desembolsada —cada crédito cerrado— y un total de G 164 millones. Pero había cotizado G 88 mil —incluyendo el IVA— por operación y esto resultaría en G 188 millones.

César Astigarraga, presidente de ITTI Saeca, en entrevista con El Surtidor.

Algo que preocupa del programa Che Roga Porã es cómo, con el aval del Estado, se habilita a los bancos participantes del programa la posibilidad de recolectar de forma masiva y transmitir datos crediticios a cualquier empresa privada, institución o persona. Una fuente especializada en la ley de datos crediticios señala que los términos y condiciones que aceptan los postulantes a los créditos de Che Róga Porã obligan a autorizar de manera «irrevocable» la entrega masiva de datos personales y crediticios, la difusión a terceros indeterminados —empresas o personas no vinculadas al contrato— y la eliminación del derecho al secreto bancario. La irrevocabilidad a la que apela el documento pasa por alto la Ley 6534/2020 de protección de datos crediticios, ya que omite el derecho a la rectificación o eliminación de información si el cliente lo deseara. Las cláusulas tampoco garantizan el consentimiento informado de los ciudadanos.

Al respecto de la entrega masiva de información crediticia, estos términos y condiciones dicen que los datos obtenidos por la AFD y las entidades financieras que ofrecen créditos en Che Róga Porã —como Ueno, Basa, Atlas y otros más— «podrán ser transmitidos a quién las mismas consideren pertinente». El documento también les autoriza a «intercambiar la información crediticia, patrimonial o de otra índole otorgada por el cliente, tanto con otras instituciones financieras o no, nacionales o extranjeras, que mantengan o no relaciones contractuales con las mismas». Expertos en el ámbito apuntan que esto supondría una vulneración explícita a la ley de datos crediticios. Con relación a esto, Ruíz Díaz dijo que, «si ellos [los bancos y financieras] trasladan esos datos a otra plataforma, es una cuestión personal de la entidad».

Además del contrato de Che Róga Porã, ITTI también accedió a tres licitaciones con el BNF, entre ellas el desarrollo y mantenimiento del homebanking de la banca estatal. Este es uno de los casos que lleva a especialistas a advertir sobre el peligro de la instalación de un monopolio del sector bancario y financiero vinculado al gobierno de Peña.

El mismo grupo empresarial gestiona el sistema de la banca pública y privada

El Grupo Vázquez se conformó en 2020, pero las operaciones de lo que sería hoy este fuerte grupo económico se remontan a 40 años atrás, con la creación de Credicentro en 1984. En el caso de ITTI, inició sus operaciones en 2004 y en 2021 fue adquirida por el grupo.

Desde la asunción de Peña, ITTI accedió a 17 licitaciones públicas de las 23 a las que se postuló, superando así las 11 adjudicaciones que recibió —de sus 25 postulaciones— durante el gobierno de Mario Abdo Benítez. Entre ellas, tres con el Banco Nacional de Fomento por un total de 9 mil millones de guaraníes entre diciembre de 2023 y julio de 2024. En todos los casos, ofreció más barato su servicio contra los mismos competidores, Roshka S.A. y Konecta S.A.; si bien estas empresas, al igual que ITTI, presentaron ofertas muy por debajo del precio referencial del banco en sus llamados.

El BNF es el banco a través del que cobran los funcionarios públicos del país. En 2023, contabilizó 1.441.933 clientes con cuentas de depósitos.

La primera adjudicación a la que accedió ITTI es la prestación de servicios para la fabricación de canales digitales para el BNF en diciembre de 2023. Según el pliego de bases y condiciones de la licitación, la empresa debía programar el homebanking, la aplicación móvil y todo derivado de los mismos. La segunda licitación, de julio de este año, es el mantenimiento del homebanking y la aplicación del BNF. En esta licitación, ITTI presentó el presupuesto más bajo, un 44,8 por ciento por ciento menos que Konecta.

El último caso, también en julio, es la adjudicación del desarrollo del software para el homebanking del BNF que será utilizado para nuevas aplicaciones o interfaces en el sistema. El homebanking es el acceso a servicios bancarios a través de internet, ya sea a través de un explorador o una aplicación de celular. Esta es la adjudicación más grande de las tres, por 4 mil millones de guaraníes. Sin embargo, vuelve a estar muy por debajo de la propuesta de Konecta. ITTI ofertó 76,6 por ciento menos que su competencia. Según César Astigarraga, presidente de ITTI, la empresa hizo la oferta incluso por debajo del precio referencial porque es «un precio justo» y pretenden brindar un «trabajo a la patria».

Como en el caso de Che Róga Porã, en los documentos públicos no figuran cláusulas que garanticen que ITTI deba resarcir al Estado ante la eventual vulneración de las bases de datos de clientes del BNF. En el contrato tampoco se especifica quién es el propietario del código fuente. Este código son las instrucciones escritas por programadores para que se ejecute un sistema, en este caso el homebanking del BNF.

El Surtidor pidió una entrevista a representantes del Banco Nacional de Fomento sobre estos contratos con ITTI, pero al cierre de este artículo, no obtuvimos respuesta.  

César Astigarraga explicó que el sistema del homebanking del BNF no es de la empresa, sino propiedad del banco estatal. ITTI provee la «fábrica de software» e incluye mejoras en el homebanking ya existente. Además, dijo que la empresa no tiene acceso a datos masivos del BNF. «Todo a lo que nosotros accedemos está encriptado y ofuscado (técnica de seguridad para proteger información)». Como en el caso de Che Róga Porã, reiteró que en los contratos privados no es común incluir cláusulas de resarcimiento por vulneraciones, ya que es responsabilidad de la proveedora implementar los mecanismos de seguridad necesarios.

Al menos dos fuentes especializadas del sector financiero advierten que el acaparamiento del sistema bancario y financiero puede derivar en un monopolio por parte del Grupo Vázquez y señalan con preocupación la complicidad del gobierno de Peña. En la página web de ITTI figura que provee el core bancario —sistema de transacciones— a nueve de 22 entidades financieras del país y que el 40 por ciento de las transacciones del Paraguay se realizan a través del sistema bancario desarrollado por la firma. Algunos de los bancos que utilizan este sistema son Itaú, Sudameris, Atlas, Continental, GNB, Ueno y el Banco Nacional de Fomento. También proveen tecnología para unas 46 empresas o instituciones, entre ellas las telefónicas Tigo y Personal, las binacionales Itaipú y Yacyretá, el Banco Central del Paraguay y la Contraloría, Paracel y la Conmebol.

Los registros de la Comisión Nacional de la Competencia indican que a partir de 2021 el Grupo Vázquez inició una operación para adquirir las acciones mayoritarias de varias empresas vinculadas al sector financiero y tecnológico en Paraguay. En octubre de ese año, compró Financiera El Comercio, que pasó a llamarse «Ueno» y hoy es Ueno Bank. Un año después, adquirió la sociedad Fleischman & Cía. S.A., una compañía dedicada a las impresiones digitales y tecnología para trabajos de oficina. En 2024, a través de ITTI Saeca, compró Hendyla y Pagopar, ambas firmas que se dedicaban al comercio online. También adquirió el paquete accionario de la aplicación de movilidad MUV. La última operación registrada es la absorción de Visión Banco por parte de Ueno Bank S.A.

Esta investigación fue realizada en alianza con el Consorcio para Apoyar el Periodismo Independiente en la Región (CAPIR), que lidera el Institute for War and Peace Reporting (IWPR) en América Latina.