Soberanía de los datos
Dónde se alojan sus datos de seguridad, quién puede acceder a ellos y cómo cambiará esto a medida que crezca nuestro equipo con base en Portugal. Lo dejamos todo por escrito antes de que comience cualquier encargo.
Alojados en la UE, bajo jurisdicción de la UE
Este sitio web y la plataforma de supervisión que estamos construyendo funcionan en infraestructura de Hetzner Online GmbH en Alemania o Finlandia, un proveedor con sede en la UE. La telemetría de seguridad de los clientes se almacenará y se tratará allí desde el primer día de servicio.
Esto no es lo mismo que utilizar la región UE de un proveedor con sede fuera de la UE. Una región determina dónde están los datos, no quién puede exigir legalmente el acceso a ellos. La CLOUD Act estadounidense, por ejemplo, permite a las autoridades de los Estados Unidos exigir a los proveedores estadounidenses que revelen los datos que estén en su posesión, custodia o control, con independencia de dónde se almacenen.
Elegir un proveedor de propiedad europea, bajo jurisdicción de la UE, evita ese conflicto en el nivel de la infraestructura.
Quién puede acceder a sus datos, y cómo
Acceso basado en funciones
Cada persona solo puede acceder a los datos que su función requiere.
Acceso registrado
Cada acceso a los datos de los clientes queda registrado.
Sin exportación masiva
Los datos de los clientes no pueden exportarse de forma masiva.
Privilegios just-in-time
El acceso privilegiado se concede para una tarea concreta y se retira después. Nadie tiene un acceso privilegiado permanente.
Servidores de salto
El acceso remoto pasa por servidores de salto (jump hosts) situados en la UE, nunca directamente a sus sistemas o datos.
Sesiones grabadas
Las sesiones privilegiadas se graban, para que cada acción pueda revisarse.
La cobertura de analistas hoy
Nuestro centro de operaciones de seguridad con base en Portugal está previsto y todavía no está en funcionamiento. Hasta entonces, la capacidad de supervisión la presta nuestra entidad afiliada en los Estados Unidos, Cyberuptive LLC, como proveedor contratado.
Sus analistas trabajan únicamente a través de los controles anteriores. Conforme al RGPD, el acceso remoto desde fuera de la UE constituye una transferencia internacional, por lo que habrá cláusulas contractuales tipo y un contrato con el subencargado del tratamiento antes de que se trate ningún dato de los clientes.
Nuestra hoja de ruta de cobertura
La cobertura de analistas pasa a Portugal en tres fases. Los datos de los clientes permanecen en infraestructura de la UE en todo momento.
Los clientes reciben por escrito información sobre la transición y la fecha comprometida para la tercera fase.
Fase 1 Desde el lanzamiento
Datos alojados en la UE; capacidad contratada de analistas en los Estados Unidos, con salvaguardas documentadas.
Fase 2 Prevista para 2028
Analistas L1 y L2 en Portugal, con apoyo para el escalado.
Fase 3 Prevista para 2030
Cobertura de analistas íntegramente basada en la UE.
Por escrito, antes de empezar
Antes de que comience cualquier encargo, usted recibe una descripción por escrito de:
- dónde se almacenan y se tratan sus datos, y qué proveedor lo hace;
- quién puede acceder a ellos, desde dónde y con qué controles;
- la fase de cobertura actual y las fechas de la siguiente;
- cómo le informaremos de cualquier cambio.
¿Tiene preguntas sobre sus datos?
Con mucho gusto explicaremos estas medidas en detalle a su equipo de seguridad, jurídico o de compras.
Concierte una conversación