Delve enfrenta acusaciones de fraude en cumplimiento de normativas

Un reciente artículo anónimo publicado en Substack acusó a la startup de cumplimiento Delve de "convencer falsamente a cientos de clientes de que cumplían" con regulaciones de privacidad y seguridad. Este comportamiento podría haber expuesto a los clientes a "responsabilidades penales bajo HIPAA y multas significativas bajo GDPR".

Delve, respaldada por Y Combinator, había anunciado el año pasado la recaudación de 32 millones de dólares en una ronda de financiación a una valoración de 300 millones de dólares, liderada por Insight Partners. En respuesta a las acusaciones, la startup publicó un comunicado en su blog, calificando las afirmaciones como "engañosas" y asegurando que contenían "numerosas afirmaciones inexactas".

El autor del post, conocido como DeepDelver, se identificó como un excliente de Delve. En respuesta a preguntas por parte de TechCrunch, DeepDelver explicó que eligieron permanecer en el anonimato por temor a represalias por parte de la empresa.

En su publicación, DeepDelver relató que recibió un correo electrónico en diciembre que afirmaba que Delve había "filtrado una hoja de cálculo con informes confidenciales de clientes". Aunque el CEO de Delve, Karun Kaushik, aseguró a los clientes en un correo posterior que estaban en cumplimiento y que ninguna parte externa había accedido a datos sensibles, DeepDelver y otros clientes comenzaron a sospechar.

La conclusión a la que llegaron fue que Delve "logra su afirmación de ser la plataforma más rápida produciendo evidencia falsa, generando conclusiones de auditoría en nombre de empresas certificadoras que aprueban informes, y omitiendo requisitos importantes del marco mientras asegura a los clientes que han alcanzado un 100% de cumplimiento".

Además, DeepDelver acusó a la startup de proporcionar a los clientes "evidencia fabricada de reuniones de directorio, pruebas y procesos que nunca ocurrieron", obligando a los clientes a "elegir entre adoptar evidencia falsa o realizar principalmente trabajo manual con poca automatización o inteligencia artificial real".

El post detalló que casi todos los clientes de Delve habían pasado por dos firmas de auditoría, Accorp y Gradient, que fueron descritas como "parte de la misma operación", operando principalmente en India con solo una presencia nominal en los Estados Unidos.

Estas firmas, según DeepDelver, simplemente sellaban informes generados por Delve. Como resultado, afirmaron que la startup "invierte" la estructura normal de cumplimiento: "Al generar conclusiones de auditoría, procedimientos de prueba e informes finales antes de que ocurra cualquier revisión independiente, Delve se coloca en el rol de implementador y examinador. Esto no es un tecnicismo. Es un fraude estructural que invalida toda la atestación".

Además de las acusaciones de engañar a sus clientes, DeepDelver afirmó que Delve ayuda a esos clientes a "engañar al público al alojar páginas de confianza que contienen medidas de seguridad que nunca se implementaron".

En su relato, DeepDelver comentó que mientras su empresa discutía sus problemas con Delve, la startup "les envió múltiples cajas de donas [..] para mantenerlos contentos". A pesar de esto, el empleador de DeepDelver aparentemente eliminó su página de confianza y ya no confía en la startup para el cumplimiento.

En su defensa, Delve afirmó que no emite informes de cumplimiento, sino que es una "plataforma de automatización" que ingiere información sobre cumplimiento y luego proporciona a los auditores acceso a esa información. "Los informes finales y las opiniones son emitidos únicamente por auditores independientes y autorizados, no por Delve".

Delve también explicó que sus clientes "pueden optar por trabajar con un auditor de su elección o optar por trabajar con uno de la red de firmas de auditoría independientes acreditadas de Delve". Afirmaron que estos auditores son "firmas establecidas que se utilizan ampliamente en la industria, incluso por otras plataformas de cumplimiento".

En respuesta a la acusación de que estaba proporcionando a los clientes "evidencia falsa", Delve contrarrestó que simplemente está ofreciendo "plantillas para ayudar a los equipos a documentar sus procesos de acuerdo con los requisitos de cumplimiento, como lo hacen otras plataformas de cumplimiento".

Finalmente, DeepDelver expresó que se sienten "perplejos por la pereza, torpeza y descaro de la respuesta de Delve".