Seguridad, cumplimiento y administración

SSO empresarial (plan Enterprise): OIDC y SAML, compatible con Microsoft Entra ID, Okta, Google, OneLogin, JumpCloud, Ping Identity y ADFS. Se configura por espacio de trabajo, en los dominios de correo verificados de la empresa. Las cuentas pueden crearse en el primer inicio de sesión si el espacio lo permite. Inicio de sesión con Google disponible para todos.
‍
Aprovisionamiento SCIM 2.0 (plan Enterprise) : los miembros y sus roles se sincronizan desde el directorio de la empresa (Microsoft Entra ID, Okta, OneLogin, JumpCloud, SailPoint).• Doble autenticación: aplicación TOTP (Google Authenticator, Microsoft Authenticator…), códigos de respaldo de un solo uso, dispositivos de confianza durante 30 días. Un código ya utilizado se rechaza. Se aplica al inicio de sesión con correo y contraseña; con Google o el SSO, la gestiona el proveedor de identidad de la empresa.

Roles y accesos: cada espacio asigna un rol a sus miembros (propietario, administrador, colaborador, miembro) y el acceso a los proyectos se concede proyecto por proyecto. Los permisos se comprueban en el servidor en cada solicitud.

Protección de los inicios de sesión: los intentos de inicio de sesión tienen un límite de frecuencia.

API REST (plan Enterprise): autenticación por token, claves gestionadas por los propietarios y administradores del espacio, cuotas, límites de frecuencia, registro de uso y documentación.

Servidor MCP: compatible con Claude, ChatGPT y Gemini CLI. Un asistente conectado actúa con los permisos del usuario que lo ha autorizado, dentro de los límites de las autorizaciones concedidas.• Tokens: almacenados como huella SHA-256 y mostrados una sola vez, al crearse.

Restricción por dirección IP (plan Enterprise): cada token de API y de servidor MCP puede limitarse a una lista de direcciones IP.

Aplicaciones de partners: acceso a un espacio solo con el consentimiento de un propietario o administrador, en modo de solo lectura y revocable desde la pestaña Seguridad.






‍

La aplicación y su base de datos están alojadas en Amazon Web Services, en la región de París (eu-west-3).
‍
El tráfico pasa por Cloudflare, que puede tratar los intercambios fuera de la Unión Europea.
‍
Algunos tratamientos se realizan fuera de la Unión Europea, principalmente en Estados Unidos: proveedores de modelos de IA, pago, CRM, mensajería. La lista pública de subencargados está disponible bajo petición.
‍
Un delegado de protección de datos (DPO) designado, un acuerdo de encargo de tratamiento (DPA), un registro de actividades de tratamiento y una política de conservación de datos.

Intercambios cifrados con TLS.• Contraseñas almacenadas como hash bcrypt.• Secretos sensibles (doble autenticación, SSO, conexiones OAuth) cifrados con AES-256-GCM.

Cada espacio y cada proyecto están aislados: un usuario solo accede a lo que se le ha abierto.• Registro de actividad (plan Enterprise): registro del espacio exportable, que el SIEM de la empresa puede recopilar con claves específicas, con integridad garantizada mediante un sellado diario.





‍

Copias de seguridad continuas de la base de datos, cifradas antes de enviarse al almacenamiento de AWS en la Unión Europea.





‍

‍

Los proveedores de modelos de IA reciben los prompts monitorizados y, según el análisis, las respuestas recogidas e información del proyecto (marca, competidores, contenido del sitio). No incluyas nunca información confidencial ni datos personales en un prompt monitorizado.
‍
DeepSeek solo se consulta en los proyectos que lo eligen; no está activado por defecto.•

El chatbot del sitio y el asistente Meteor de la aplicación funcionan a través de Microsoft (servicio Azure OpenAI).

Certificación ISO/IEC 27001:2022 en preparación, prevista para 2027.

Programa:
T4 2026: primera revisión de la seguridad por la dirección, primera auditoría interna, prueba de intrusión externa, apertura del centro de confianza en la aplicación
2027: auditoría de certificación ISO/IEC 27001:2022 (etapas 1 y 2)