Seguridad y cumplimiento

Convomint trata los datos personales de conformidad con el Reglamento General de Protección de Datos (RGPD). Para los datos de los empleados de nuestros Clientes actuamos como encargado del tratamiento (art. 28 RGPD); el empleador sigue siendo el responsable. El tratamiento se basa en un contrato de encargo, recogemos solo los datos que necesita una encuesta y ayudamos a los Clientes a atender los derechos de los interesados: acceso, rectificación, supresión y portabilidad.

Toda la comunicación entre el navegador y la plataforma está cifrada con TLS, y los navegadores están obligados a usar solo conexiones seguras (HSTS). Las copias de seguridad llegan al almacén de copias exclusivamente por conexiones cifradas. Los datos especialmente sensibles —entre ellos los enlaces personales a encuestas y evaluaciones y las claves de integración— se guardan cifrados en la base de datos. El acceso administrativo a la infraestructura de producción requiere autenticación con clave criptográfica.

La plataforma y su base de datos funcionan en un centro de datos de la Unión Europea (Alemania), gestionado por un proveedor certificado ISO/IEC 27001. La base de datos no es accesible desde internet: las reglas de red solo permiten conexiones de los servicios de la aplicación. Cada versión de la aplicación es una imagen inmutable y versionada que supera pruebas automáticas y controles de seguridad antes de desplegarse; si es necesario, podemos volver rápidamente a la versión anterior. Las notificaciones por correo (invitaciones a evaluaciones y encuestas) se envían mediante un servicio de correo especializado en la UE con supervisión continua de la entrega: los rebotes se detectan automáticamente, los administradores ven en el panel qué mensajes no se entregaron y las direcciones permanentemente inaccesibles se bloquean.

El acceso se basa en roles (administrador, RR. HH., responsable, empleado): cada usuario ve solo los datos que permite su rol. Los datos de cada organización están aislados en varias capas independientes de la aplicación. La plataforma admite autenticación de dos factores (MFA) e inicio de sesión con Google, y protege el inicio de sesión frente a intentos de adivinar contraseñas. Los eventos del sistema se registran en registros centralizados y se supervisan.

Los cambios en la base de datos se archivan de forma continua y cada día se realiza una copia completa. Las copias se conservan 30 días en un almacén de datos independiente en la UE, fuera del servidor de la aplicación, con versionado que las protege frente a borrados accidentales o no autorizados. Así podemos restaurar los datos a un momento elegido. Probamos periódicamente la recuperación restaurando la base de datos completa en un entorno separado y comparándola con producción.

Cada cambio de código pasa pruebas automáticas, un análisis de dependencias en busca de vulnerabilidades conocidas y una búsqueda de contraseñas y claves expuestas por error; un cambio que no supera estos controles no llega a producción. Además, revisamos la seguridad del código y la configuración según las pautas de OWASP. Las vulnerabilidades detectadas se priorizan y se corrigen sin demora.

Seguimos un plan establecido de respuesta a incidentes de seguridad. Notificamos al Cliente una violación de datos personales sin dilación indebida y le facilitamos la información necesaria para comunicarla a la autoridad de control en el plazo legal de 72 horas. Las violaciones que afectan a datos de los que somos responsables las notificamos nosotros mismos a la autoridad de control.

Nuestras prácticas de seguridad siguen las pautas de OWASP y los requisitos del RGPD. El centro de datos que aloja la plataforma cuenta con la certificación ISO/IEC 27001. A petición del Cliente, respondemos a cuestionarios de seguridad de proveedores.

Conservamos los datos durante la vigencia del contrato. Tras su finalización, el Cliente dispone de 30 días para exportar los resultados; después, los datos se eliminan o se anonimizan, y las copias de seguridad caducan automáticamente dentro del ciclo de 30 días. A petición del Cliente eliminamos los datos antes.

Los usuarios son responsables de la seguridad de sus cuentas: usar contraseñas seguras y no compartir sus datos de acceso con terceros. Recomendamos activar la autenticación de dos factores (MFA) en las cuentas de administrador.

En las encuestas anónimas, guardamos las respuestas por separado de la información sobre participación. La empresa ve resultados agregados y se protegen los grupos pequeños. El anonimato tiene límites: el contenido de una respuesta, información adicional o el acceso completo al sistema pueden revelar quién la escribió. Una dirección IP puede tratarse por seguridad, pero no se guarda con la respuesta. Puede haber datos antiguos en copias de seguridad.

Confiamos los datos únicamente a subprocesadores de confianza: infraestructura y alojamiento en la UE/EEE, correo electrónico transaccional a través de Amazon SES (Amazon Web Services, región de la UE - Irlanda), Stripe para pagos, PostHog análisis de productos (nube de la UE). Las funciones de IA utilizan proveedores de modelos de lenguaje externos según acuerdos de procesamiento de datos y cláusulas contractuales estándar: los nombres y apellidos se eliminan automáticamente antes de enviar los datos a los modelos, y los proveedores no entrenan sus modelos en ellos. Lista completa y reglas: Política de privacidad (secciones 5 a 7).

El conjunto legal completo para el Servicio: Términos de Servicio (incluido el derecho de desistimiento - §5), Política de Privacidad y Política de Cookies - todos disponibles en el pie de página del Servicio. El acuerdo de procesamiento de datos (DPA) está disponible para los Clientes que lo soliciten en [email protected].