Privacidad y seguridad desde el diseño
El modelado de amenazas, la minimización de datos y la revisión de seguridad forman parte de cómo se construyen las funciones, no de una fase posterior.
Centro de confianza
Seguridad, RGPD y residencia de datos: lo que afirmamos y cuándo.
WidinX trata datos de producto que las empresas consideran sensibles. Esta página explica con claridad cómo los protegemos, dónde se alojan (hay residencia de datos en la UE disponible), cómo abordamos el RGPD y qué pruebas independientes están en curso.
Última actualización 2026-09-05
De un vistazo
- AlojamientoRegión de la UE, un único proveedor de nube
- CifradoEn tránsito y en reposo
- Datos personales en blockchainNunca
- Prueba de penetración independienteDic 2026
- ISO/IEC 27001Objetivo: 1.er semestre de 2027
- Contrato de encargo del tratamiento (DPA)Disponible previa solicitud
Compromisos
Cinco cosas que puede exigirnos.
Residencia de datos en la UE disponible
La producción se ejecuta en la UE con un único proveedor de nube. Cada cliente (tenant) tiene una región principal y una de respaldo como ajuste de negocio.
Cifrado en tránsito y en reposo
TLS para todo el tráfico; bases de datos, almacenamiento de objetos y copias de seguridad cifrados, con claves gestionadas por el KMS de la nube.
Acceso basado en roles
Roles de mínimo privilegio, MFA para cuentas con privilegios, revisiones periódicas de acceso y SSO/SAML previsto para clientes empresariales.
Auditabilidad
Registros a prueba de manipulación para las acciones sensibles, pasaportes versionados y firmas verificables con claves publicadas.
Principios de arquitectura
Diseñado para que la respuesta a «¿dónde están mis datos?» sea breve.
Sin datos personales en los pasaportes públicos
Los pasaportes públicos solo contienen datos de producto. Los datos personales y los documentos restringidos permanecen tras el inicio de sesión, en su plano de datos autorizado.
Aislamiento entre clientes
Los clientes están aislados lógicamente y el aislamiento está cubierto por pruebas automatizadas. Hay despliegues dedicados disponibles para requisitos específicos.
Copias de seguridad que se pueden restaurar
Copias de seguridad cifradas con objetivos RPO/RTO definidos y simulacros de restauración programados antes de incorporar a clientes en producción.
Uso transparente de la IA
Se inventarían todos los modelos, proveedores, categorías de datos, regiones y ajustes de conservación. Ningún dato de cliente se usa para entrenar modelos de terceros.
Desarrollo seguro
Análisis estático, análisis de dependencias y de secretos en la integración continua, cambios revisados y un proceso documentado de parches y vulnerabilidades.
Respuesta a incidentes
Un proceso de respuesta documentado, con compromisos de notificación a los clientes y un contacto de seguridad específico.
Hoja de ruta de garantías
Pruebas independientes, con un calendario público.
Publicamos el plan en lugar de una insignia que no nos hemos ganado. Las fechas son objetivos y se actualizarán aquí a medida que se alcancen los hitos.
Lo que no afirmamos
- Todavía no estamos certificados en ISO/IEC 27001. La certificación está prevista para el 1.er semestre de 2027 (véase la hoja de ruta).
- No nos describimos como «certificados RGPD». El cumplimiento del RGPD es una obligación continua que gestionamos, no una insignia.
- No hemos completado un examen SOC 2. Lo estudiaremos si los clientes lo exigen.
- sep 2026Hecho
Centro de confianza v0 y avisos de privacidad
Publicadas esta página, nuestra política de privacidad y las prácticas de datos del sitio web.
- oct 2026En curso
Base de seguridad
MFA y controles de acceso privilegiado, proceso de respuesta a incidentes y contacto de seguridad implantados.
- nov 2026Previsto
Paquete de seguridad listo para ventas
Contrato de encargo del tratamiento (DPA) v1, lista de subencargados y un paquete de cuestionarios de seguridad disponibles para los clientes potenciales.
- dic 2026Previsto
Prueba de penetración independiente
Web, API, autenticación y aislamiento entre clientes probados por una firma independiente; hallazgos de gravedad crítica y alta corregidos.
- ene 2027Previsto
Revisión previa al primer cliente en producción
Residencia, restauración, monitorización y controles de incorporación revisados antes del primer cliente en producción.
- 1.er sem. 2027Previsto
Certificación ISO/IEC 27001:2022
Sistema de gestión de la seguridad de la información auditado en un alcance definido que abarca la plataforma, la nube, el desarrollo y el soporte.
Tratamiento de datos
Roles, acuerdos y subencargados.
Responsable / encargado
Para los datos de producto y de cadena de suministro que usted suba, WidinX actúa como encargado del tratamiento siguiendo sus instrucciones. Para los datos del sitio web y de las cuentas, WidinX es el responsable; véase la política de privacidad.
Contrato de encargo del tratamiento (DPA)
Los clientes pueden solicitar un DPA con cláusulas contractuales tipo cuando proceda.
Subencargados
Alojamiento en la nube (región de la UE), correo electrónico transaccional, CRM, monitorización y un proveedor de modelos de IA (que solo se usa cuando usted activa el asistente). La lista nominal se facilita con el DPA y se mantiene actualizada.
Transferencias internacionales
Los datos de los clientes se alojan en la UE. Cuando un subencargado opera fuera del EEE, las transferencias se basan en mecanismos aprobados y quedan documentadas.
¿Necesita nuestro DPA, la lista de subencargados o que respondamos un cuestionario de seguridad?
Solicitar el paquete de seguridad
Divulgación responsable
¿Ha encontrado algo? Cuéntenoslo.
Si cree haber encontrado una vulnerabilidad de seguridad en WidinX, escriba por correo electrónico a nuestro equipo de seguridad. Acusamos recibo de los informes en un plazo de tres días laborables, le mantenemos informado y no emprendemos acciones contra los investigadores que actúan de buena fe.