Así protegemos tus datos

Ubicación de los datos

Todos los datos de clientes se tratan y almacenan en la región de AWS eu-central-1 (Fráncfort). Las copias de seguridad se guardan cifradas en una segunda región de la UE. Solo hay tratamiento fuera de la UE si tú mismo activas un modelo de IA fuera de la UE. Nuestro contrato con AWS se firma con su entidad europea: Amazon Web Services EMEA SARL, en Luxemburgo.

• Región principal: eu-central-1 (Fráncfort)
• Copias de seguridad: segunda región de la UE, más una copia en almacenamiento a largo plazo
• Región y partición son parámetros del código de infraestructura

Aislamiento de clientes

Cada entorno de cliente tiene su propia base de datos con su propio usuario, su propio bucket de S3 y su propia clave KMS. Los contenedores de aplicación se ejecutan con límites de CPU y memoria. Los grandes clientes obtienen su propia pila de aplicaciones, su propia instancia de base de datos y su propio segmento de red; una cuenta de AWS dedicada es opcional.

Gestión de claves y crypto-shredding

Los datos en reposo se cifran con AES-256 mediante AWS KMS, con una clave gestionada por el cliente (customer managed key) por cliente. Al salir, esa clave se destruye tras el periodo de conservación, lo que vuelve ilegibles también todas las copias de seguridad y versiones anteriores.

Cifrado en tránsito

Todo el tráfico usa TLS 1.2 o superior, con HSTS. Las bases de datos y el almacenamiento no son accesibles directamente desde internet; los archivos se transfieren mediante URL firmadas de corta duración.

Identidad y autenticación

Un proveedor de identidad central basado en OpenID Connect. Los entornos de cliente, herramientas de navegador, apps de escritorio y API confían en este proveedor; las contraseñas locales en los entornos de cliente están desactivadas, salvo una cuenta de administración de emergencia.

• MFA con TOTP o passkeys (WebAuthn), exigible por entorno
• Herramientas de escritorio y navegador: OAuth 2.0 Authorization Code con PKCE
• Tokens de acceso JWT de corta duración (15 minutos) con tokens de actualización
• Revocar una cuenta bloquea al instante los nuevos tokens; los tokens activos caducan en 15 minutos

Autorización

Los roles y permisos se gestionan por entorno de cliente (control de acceso basado en roles). Los usuarios se crean just-in-time según su pertenencia. Los invitados solo ven lo que se ha compartido explícitamente con ellos.

Compartición externa

Los enlaces de compartición son tokens con fecha de caducidad y contraseña opcional, revocables en cualquier momento.

• Descargas mediante URL prefirmadas de corta duración
• Los destinatarios no necesitan cuenta
• Colaborar requiere una cuenta de invitado (gratuita)

Acceso de soporte

El personal no tiene acceso a los datos de clientes por defecto. El acceso es just-in-time: solo con el consentimiento del cliente, limitado en el tiempo y totalmente registrado.

• Consentimiento del administrador del cliente, por 24 horas o 7 días
• Registro de auditoría de cada sesión, visible para el cliente
• Acceso de emergencia solo ante una avería o incidente, con motivo y aviso inmediato

Pasarela de IA

Todas las solicitudes de IA pasan por nuestra propia pasarela, que aplica autenticación, selección de modelo, consumo y límites. Por defecto solo se usan modelos en la UE; los modelos fuera de la UE deben activarse explícitamente y están etiquetados. Los datos de clientes no se usan para entrenar modelos.

• Política de modelos por entorno; «solo UE» se puede imponer
• Presupuestos y límites por persona y por entorno, incluso sin conexión en directo con el entorno de administración
• Consumo medido por solicitud

Recuperación con permisos

El índice de búsqueda (pgvector) pertenece al entorno del cliente y sigue los mismos permisos que las apps: la recuperación solo devuelve documentos que el usuario puede abrir. El historial de conversaciones se guarda en el entorno del cliente.

Infraestructura como código

Toda la infraestructura está definida en OpenTofu y se despliega mediante CI/CD; no hay gestión manual en consola. El componente que modifica la infraestructura tiene un rol IAM restringido (mínimo privilegio); la capa de aplicación no tiene permisos amplios en la nube.

Copia de seguridad y recuperación

Las copias de seguridad se crean automáticamente y se restauran automáticamente de forma periódica para comprobar que funcionan. Se guarda una copia adicional en almacenamiento a largo plazo (Glacier Deep Archive), cifrada con la clave del cliente.

Disponibilidad y crédito de servicio

Medimos cada mes la disponibilidad de cada entorno. Lo que garantizamos depende del nivel de servicio. Si no cumplimos un compromiso, recibes crédito de servicio: un descuento sobre la cuota mensual. El mantenimiento planificado anunciado con al menos 5 días laborables de antelación no cuenta.

• Básico: 99,5 % como objetivo
• Empresa: 99,9 % garantizado; 5 % de crédito por cada 0,1 % por debajo, hasta el 25 %
• Premium: 99,95 % garantizado; 10 % de crédito por cada 0,05 % por debajo, hasta el 50 %

Monitorización y registros

Los sistemas se monitorizan de forma continua con alertas. Las acciones de administración y soporte quedan en registros de auditoría. El consumo y los costes se miden por cliente mediante etiquetas. Soporte y seguimiento en horario de oficina.

Seguridad del correo

El correo saliente se envía mediante Amazon SES desde el dominio del cliente, con SPF, DKIM y DMARC. Los rebotes y quejas se devuelven por cliente.

RGPD y contrato de encargo

OpenAEC Studio BV es encargado del tratamiento según el RGPD. Cada suscripción incluye un contrato de encargo con la lista de subencargados, entre ellos AWS (regiones de la UE).

Respuesta a incidentes

Si un incidente de seguridad afecta a datos personales, informamos al cliente sin demora indebida de su naturaleza, alcance y medidas, para que el cliente pueda notificarlo dentro del plazo del RGPD.

Divulgación coordinada

Notifica las vulnerabilidades a la dirección de abajo. Confirmamos la recepción, te mantenemos informado de la gestión y te mencionamos con gusto tras la publicación.

maarten@open-aec.com

Salida y portabilidad de datos

Exportación completa en cualquier momento, en formatos abiertos: archivos con su estructura de carpetas, datos en CSV y un volcado completo de la base de datos.

• Baja a final de mes
• 30 días en solo lectura para exportar
• 30 días congelado
• Destrucción de la clave KMS y certificado de eliminación

Código abierto

Todo el software de la SuperCloud es de código abierto. Puedes auditar la implementación tú mismo o encargar una auditoría, sin depender de nuestras declaraciones.

On-premise

Las mismas imágenes de contenedor funcionan también on-premise o en tu propio proveedor de alojamiento si quieres mantener tus datos totalmente bajo tu control. OpenAEC Studio BV ayuda con la instalación, la operación y las actualizaciones.