Centro de confianza

Centro de confianza: nuestro compromiso con la seguridad

Atalaya GRC es una plataforma de gestión del cumplimiento normativo diseñada para sectores regulados (banca, seguros, energía, sector público, agroalimentario). Por eso, la seguridad y la protección de los datos de cada cliente son el eje sobre el que está construido el producto. Esta página resume cómo protegemos tu información.

Arquitectura multi-tenant y aislamiento de datos

• Cada registro está vinculado a un identificador de cliente inmutable, fijado en el inicio de sesión y nunca derivado de parámetros manipulables por el usuario.
• Además, todas las consultas se filtran por el cliente de la sesión: así, una organización no puede acceder a la información de otra.
• El aislamiento se valida de forma repetible mediante una batería de comprobaciones de integridad multi-tenant, además de pruebas de intrusión internas que incluyen intentos de acceso entre clientes.
• El almacenamiento de ficheros también está segregado por cliente y el acceso directo por URL está denegado: todo fichero se sirve a través de la aplicación previa verificación de pertenencia.

Cifrado

• En tránsito: todo el tráfico viaja sobre HTTPS/TLS, con HSTS de un año e inclusión de subdominios.
• En reposo: los secretos de integración también se almacenan cifrados con AES-256-GCM, con la clave fuera de la raíz web.
• Credenciales y tokens: contraseñas con hash robusto; además, los tokens de API se guardan solo como huella SHA-256 (el valor en claro se muestra una única vez).

Control de acceso

• Roles diferenciados (superadministrador, administrador por cliente, consultor, responsable y auditor) con permisos acotados.
• Además, cookies de sesión con atributos Secure, HttpOnly y SameSite=Lax.
• También hay protección frente a CSRF en todas las operaciones de escritura.
• Asimismo, cada cliente puede tener un administrador propio que gestiona su integración y sus credenciales de API sin acceso a los datos de otros clientes.

Protección de datos y RGPD

• Plataforma alojada por Euronodes Ltd en servidores de la Unión Europea, con contrato de encargo del tratamiento (art. 28 RGPD). Tus datos se alojan en la UE.
• Segregación por cliente de datos y ficheros.
• Portabilidad: cada cliente puede exportar un dossier completo de sus datos y ficheros (RGPD Art. 20 y DORA).
• También se gestionan las solicitudes de derechos RGPD (DSAR).
• Además, registro de auditoría consultable de las acciones relevantes.
• Subprocesadores: Proveedor de alojamiento en la Unión Europea (Euronodes Ltd; su subencargado Anthropic, en Estados Unidos, solo para el análisis automatizado de seguridad ante incidentes, con cláusulas contractuales tipo) y Microsoft (copia de seguridad cifrada de la plataforma en Microsoft 365 y, solo para los clientes que activen la integración de directorio, Entra ID / Microsoft Graph).
• Además, el proveedor de alojamiento puede analizar el servidor con agentes automáticos de IA (de Anthropic, en EE. UU., con cláusulas contractuales tipo de la UE) solo si detecta un ataque o un fallo grave: comandos de solo lectura sobre el estado del sistema (procesos, conexiones de red y carga, que incluyen direcciones IP) y aviso por correo de cada actuación.

Cobertura normativa del producto

• DORA (resiliencia operativa digital)
• NIS2 (ciberseguridad)
• RGPD (protección de datos)
• Reglamento de IA de la UE (EU AI Act)
• ENS (Esquema Nacional de Seguridad)
• ISO/IEC 27001 (seguridad de la información)
• ISO 22301 (continuidad de negocio)
• CRA (Cyber Resilience Act)
• Data Act (Reglamento de Datos: acceso a datos de productos conectados y cambio de proveedor)

Integraciones

• Microsoft 365 / Entra ID: sincronización de usuarios vía Microsoft Graph, mediante una aplicación registrada y autorizada por el propio cliente, con permisos de solo lectura.
• API REST por cliente: también de solo lectura, autenticada por token Bearer; determina el cliente exclusivamente a partir del token (nunca por parámetro) y registra cada acceso.

Continuidad y resiliencia

• Copias de seguridad diarias y cifradas de toda la plataforma: una en el propio servidor y otra completa fuera de él, en Microsoft 365.
• Registro de auditoría de las acciones de la plataforma.
• También, módulos internos de continuidad de negocio (BIA) y pruebas de resiliencia operativa.
• Además, prueba de penetración externa e independiente prevista antes del lanzamiento comercial.

Estado de certificaciones en este centro de confianza

• ISO/IEC 27001 (del propio producto): en progreso. Estamos formalizando el Sistema de Gestión de Seguridad de la Información de la plataforma.
• Mientras tanto, Atalaya GRC ya implementa controles alineados con ISO 27001, DORA y NIS2 en su propio funcionamiento.

Contacto de seguridad del centro de confianza

¿Has detectado un problema de seguridad o tienes preguntas sobre el tratamiento de tus datos o sobre este centro de confianza? Escríbenos a seguridad@atalayagrc.com. También atendemos con prioridad las comunicaciones de seguridad. Además del inicio de sesión federado (SSO con OpenID Connect y Microsoft Entra ID), Atalaya ofrece verificación en dos pasos (2FA) nativa mediante aplicación de autenticación (TOTP), opcional por usuario y con códigos de respaldo. Las integraciones con Microsoft Entra ID y Google Workspace permiten además la recogida automática y periódica de evidencias de identidad, que alimentan el estado de cumplimiento y los indicadores. Por último, el módulo opcional de IA de apoyo, cuando se contrata, utiliza un modelo alojado en la UE (Azure OpenAI), quita automáticamente los datos personales identificables antes de cada consulta y funciona siempre con supervisión humana.