Seguridad y privacidad

Construido sobre Google Cloud. Seguridad en lenguaje claro.

EMPOBase está alojado en Google Cloud. Esta página resume los controles documentados, los compromisos de privacidad y las mejoras previstas. Póngase en contacto con nosotros para solicitar evidencias actuales y las condiciones aplicables a su uso del servicio.

Enviar un cuestionario de seguridad Ver quién tiene acceso a sus datos

El cifrado gestionado por el cliente para toda la organización y la residencia de datos fijada en una región siguen en la hoja de ruta.

app.empobase.com TLS

Acceso y protección

Control documentado: Conexión cifrada

Conexiones cifradas
Control documentado: Inicio de sesión verificado

Inicio de sesión verificado antes de permitir el acceso
Control documentado: Comprobaciones de acceso de la organización

Las acciones compatibles verifican el contexto de la organización y los permisos
Control documentado: Cifrado en reposo

Cifrado gestionado por Google para los datos almacenados
Cifrado gestionado por el cliente para toda la organización Hoja de ruta

Compatibilidad prevista con claves de cifrado controladas por el cliente

Resumen ilustrativo de controles; no es una comprobación de seguridad en tiempo real.

Alojamiento: Google Cloud; Región de Singapur. La residencia de datos en la UE o fijada por región está en nuestra hoja de ruta.
Cifrado: En tránsito y en reposo; TLS en tránsito. Cifrado en reposo gestionado por Google.
Aislamiento: Acceso limitado por organización; El acceso a los registros de cada organización está restringido mediante el inicio de sesión y los permisos.

Compromisos permanentes

Sin reventa de datos
No se usa para entrenar modelos de IA
Condiciones del DPA a solicitud
Exportaciones compatibles mediante nuestro proceso de privacidad
Información sobre proveedores más abajo

Controles de seguridad

Protección para su equipo y sus registros.

Resumen de los controles documentados, con las funciones previstas indicadas por separado. Confirme que los controles y las limitaciones actuales cumplen los requisitos de su programa.

Protección de conexiones

Conexiones cifradas
Protección frente al tráfico abusivo

Inicio de sesión

Verificaciones de identidad
Inicio de sesión verificado antes de permitir el acceso

Acceso de la organización

Las reglas de acceso varían según el módulo
Verificación de permisos para las acciones compatibles

Archivos privados

Acceso restringido a usuarios autorizados
Enlaces con caducidad para descargas privadas

Los registros generales utilizan cifrado en reposo gestionado por Google. El cifrado gestionado por el cliente para toda la organización sigue previsto. La bóveda confidencial de RR. HH., que es independiente, utiliza cifrado del lado del cliente en los flujos de trabajo compatibles y activados; confirme su disponibilidad y los requisitos de recuperación.

Controles y limitaciones

Controles de seguridad explicados con claridad.

Estos controles ayudan a proteger sus registros. No garantizan que se eviten todas las amenazas o acciones no autorizadas.

Acceso limitado por organización

El acceso a los registros de cada organización está restringido mediante el inicio de sesión y los permisos.
Para los archivos privados subidos se requiere autorización antes de emitir un enlace de descarga con caducidad. Las funciones de uso compartido público y publicación tienen reglas de acceso diferentes; revise qué información quedará expuesta antes de utilizarlas.
El personal de EMPO puede ayudar con la administración de cuentas y roles y puede acceder a algunos documentos de la organización durante el soporte. Póngase en contacto con nosotros para confirmar el alcance y los registros de actividad disponibles.

Cifrado

Las conexiones del navegador utilizan cifrado HTTPS/TLS en tránsito.
Los registros y archivos almacenados utilizan claves de cifrado gestionadas por Google.
El cifrado gestionado por el cliente para toda la organización sigue previsto. La bóveda confidencial de RR. HH., que es independiente, utiliza cifrado del lado del cliente en los flujos de trabajo compatibles y activados. Confirme la disponibilidad y los requisitos de acceso y recuperación. Las claves de cifrado son distintas de las claves de proveedores de IA.

Identidad & sesiones

El inicio de sesión utiliza los servicios de identidad de Google para los métodos compatibles de acceso con Google y correo electrónico.
Se verifica el inicio de sesión antes de permitir el acceso a las acciones compatibles.
Las comprobaciones de sesión ayudan a restringir el uso no autorizado.
El inicio de sesión se restringe a los dominios web aprobados.

Resiliencia

La configuración documentada de recuperación de la base de datos conserva catorce copias de seguridad automáticas y siete días de historial de recuperación para restaurar los datos a un momento determinado. Esto no garantiza un tiempo de recuperación ni la ausencia de pérdida de datos.
El acceso a las credenciales del servicio está restringido y se registra.
Las protecciones del navegador restringen el contenido no confiable y la inserción de páginas.

Privacidad

Sus datos, sus reglas. No son material de entrenamiento.

Operamos el portal. Los clientes controlan los datos que envían y los procesamos para proporcionar y proteger el servicio.

Propiedad de los datos: Usted es dueño de los datos que envía. Los procesamos para proporcionar y proteger el servicio, y respaldamos las solicitudes de exportación mediante nuestro proceso de privacidad.
Sin entrenamiento, sin reventa: No vendemos ni concedemos licencias sobre los datos de los clientes, ni utilizamos su contenido para entrenar modelos de EMPO o de terceros. Más abajo encontrará información sobre los proveedores; solicite las condiciones de procesamiento aplicables a sus servicios e integraciones habilitados.
Derecho de supresión: La eliminación por registro está disponible en los flujos compatibles. Las solicitudes verificadas de eliminación de cuenta siguen nuestro proceso de privacidad y las obligaciones de retención aplicables.
Derecho de exportación: Las exportaciones compatibles están disponibles en el producto y mediante nuestro proceso de privacidad. El formato y el alcance dependen de los datos y del plan.
Condiciones del DPA a solicitud: Los términos aplicables del Acuerdo de Procesamiento de Datos están disponibles a solicitud para los acuerdos de procesamiento y transferencia compatibles.
Datos de beneficiarios: Si almacena nombres, fotos, coordenadas GPS o documentos de identidad de beneficiarios, trátelos como datos sensibles y confirme los controles de acceso, retención y anonimización necesarios para su programa.

Proveedores de servicios

Quién más tiene acceso a sus datos, y por qué.

La tabla describe los proveedores de infraestructura y servicios. El procesamiento de IA también depende del servicio habilitado y del proveedor seleccionado, como se explica más abajo. Solicite la lista actual de proveedores y las condiciones de procesamiento aplicables para su evaluación de adquisiciones.

Quién más tiene acceso a sus datos, y por qué.
Proveedor	Finalidad	Tipo de datos	Ubicación
Google Cloud	Alojamiento, base de datos, almacenamiento de archivos e infraestructura relacionada	Todos los datos del cliente	Región de Singapur
Proveedor de identidad de Google	Inicio de sesión (Google + email)	Email, nombre visible, marcas de tiempo de inicio de sesión	Global
Hostinger	Registrador de dominios	Solo registros de propiedad del dominio	UE (Lituania)
Resend	Email transaccional (recibos, autenticación, notificaciones)	Dirección de email, contenido del mensaje	EE. UU.
Stripe	Facturación de suscripciones (prevista — aún no activa)	Contacto de facturación, email, instrumento de pago	EE. UU. · UE disponible

Stripe está previsto, pero aún no está activo. La información sobre la región de alojamiento no significa que todos los proveedores procesen los datos únicamente en esa región.

Proveedores de IA y sus datos

Las funciones de IA pueden enviar instrucciones y contexto seleccionado a Google. Las claves compatibles de proveedores configuradas por el cliente pueden dirigir las solicitudes a Anthropic u OpenAI en su lugar. La disponibilidad depende de la configuración del servicio. Revise el proveedor seleccionado y las condiciones aplicables antes de enviar información sensible; solicítenos que confirmemos las condiciones de procesamiento para su caso de uso.

Leer sobre la configuración de IA Leer nuestra guía de privacidad

Limitaciones actuales y planes

Mejoras previstas.

No afirmamos disponer de un informe de atestación SOC 2 ni de certificación ISO 27001. Los elementos que aparecen a continuación como previstos o en estudio no son funciones actuales ni compromisos de entrega en una fecha determinada.

Hoy

Controles fundamentales

Controles de seguridad básicos
Controles de acceso de la organización
Cifrado en tránsito y en reposo
Plantilla de DPA a solicitud
Información sobre proveedores (arriba)

Previsto

Previsto — sin fecha comprometida

Despliegue de aplicaciones de autenticación y soporte de recuperación previstos.
Mayor cobertura de exportación del registro de auditoría
Mejoras en la exportación y eliminación de datos
Residencia de datos en la UE
Kit de cuestionario de seguridad para proveedores

En estudio

En estudio — sin fecha comprometida

SOC 2 Tipo I
Claves de cifrado gestionadas por el cliente para toda la organización
Inicio de la auditoría ISO 27001
Página de estado pública

Hable con nosotros

¿Tiene preguntas sobre nuestros controles de seguridad?

Envíe su cuestionario de seguridad para proveedores o solicite evidencias actuales de los controles. Póngase en contacto con nosotros para acordar el alcance, los plazos y las condiciones de confidencialidad de la evaluación.

Para informar de una posible vulnerabilidad, utilice el correo de seguridad que aparece más abajo. Incluya la página o función afectada y una descripción breve. No incluya contraseñas, claves de API ni registros personales; consulte cómo compartir evidencias sensibles de forma segura.

Informar de una vulnerabilidad

security@empobase.com

Escribir al equipo de seguridad Solicitar DPA