Alojamiento y residencia de datos
CaseConduit funciona íntegramente en la región del Reino Unido de uno de los principales proveedores de servicios en la nube: tu contenido y los datos de tu cuenta se almacenan allí, los procesos de la plataforma se ejecutan allí y los correos electrónicos de la cuenta se envían desde allí. Los datos están cifrados en tránsito (TLS) y en reposo.
La excepción es la generación con IA: cuando pides a la plataforma que genere o analice algo, el contenido pertinente se envía a los proveedores de IA que actúan como nuestros encargados del tratamiento, algunos de los cuales operan fuera del Reino Unido (en Estados Unidos); estos lo tratan de forma transitoria para producir lo que has pedido y devuelven el resultado. Estas transferencias se amparan en las garantías reconocidas por la legislación británica de protección de datos (el Acuerdo Internacional de Transferencia de Datos o la Adenda del Reino Unido). Encontrarás todos los detalles en nuestra política de privacidad.
Subencargados del tratamiento
Trabajamos con una lista de proveedores deliberadamente corta, y cada uno de ellos está obligado a tratar los datos únicamente siguiendo nuestras instrucciones:
| Proveedor | Finalidad | Lugar del tratamiento |
|---|---|---|
| Plataforma en la nube | Alojamiento, almacenamiento, cómputo, autenticación gestionada, distribución de contenido, correos electrónicos de la cuenta | Reino Unido; ubicaciones perimetrales de la CDN en todo el mundo |
| Proveedor de IA de texto | Generación de texto con IA y análisis del contenido que envías | Estados Unidos |
| Proveedor de IA de voz | Síntesis de voz a partir de texto para historias y simulaciones | Estados Unidos / UE |
| Proveedor de pagos | Procesamiento de pagos y facturación de las suscripciones de pago | Estados Unidos / UE (los datos de las tarjetas los gestiona íntegramente el proveedor) |
Según las condiciones comerciales de nuestros proveedores de IA, tu contenido no se usa para entrenar sus modelos de uso general: solo se utiliza para generar el resultado que has solicitado. Las páginas del sitio también cargan fuentes y bibliotecas de iconos desde CDN públicas (Google Fonts, cdnjs, unpkg), que reciben los metadatos habituales de cualquier solicitud web, como las direcciones IP, pero nada de tu contenido.
Conservación y eliminación
- Tu contenido y tu biblioteca — se conservan hasta que los elimines o cierres tu cuenta.
- Datos de la cuenta y del perfil — se eliminan en un plazo de 30 días desde el cierre de la cuenta, salvo cuando la ley exija conservarlos.
- Registros técnicos y de seguridad — se conservan durante un máximo de 12 meses.
- En autoservicio, sin solicitudes de soporte: los usuarios que han iniciado sesión pueden consultar, exportar y eliminar de forma definitiva sus datos por sí mismos desde el panel MyData de su espacio de trabajo, sin necesidad de presentar ninguna solicitud.
Prácticas de seguridad
- TLS en todas partes; la plataforma en la nube cifra en reposo los datos almacenados.
- Arquitectura sin servidor — no hay servidores permanentes que parchear; la plataforma consiste en contenido estático y servicios gestionados en la nube.
- Autenticación gestionada — de las contraseñas se encarga el servicio de identidad gestionado de la plataforma en la nube, y nosotros nunca las almacenamos en texto claro; está disponible el inicio de sesión único (SAML / OIDC) para empresas, de modo que tu proveedor de identidad mantenga el control.
- Las claves de API y los secretos solo residen en el servidor — el navegador nunca contiene credenciales de nuestros proveedores de IA; todas las llamadas a la IA pasan por nuestro backend, que además aplica límites de frecuencia y de uso.
- Aislamiento de los pagos — el proceso de pago y la facturación se realizan en las páginas alojadas por el proveedor de pagos; los mensajes de webhook se verifican criptográficamente.
- Almacenamiento con control de versiones — los datos de usuario se guardan con sus versiones anteriores, de modo que lo que se elimine o sobrescriba por accidente se puede recuperar.
- Visor de casos protegido — los casos que se entregan a los participantes se muestran en un visor protegido y con marca de agua que bloquea la descarga y los intentos sencillos de copia. Lo decimos con honestidad: ningún visor web puede hacer que sea imposible capturar el contenido (siempre existe la cámara de un móvil); el nuestro exige más esfuerzo para hacerlo y marca cada página con la identidad de quien la está viendo.
Certificaciones y pruebas — la respuesta honesta
CaseConduit, como tal, todavía no cuenta con la certificación Cyber Essentials, con la ISO 27001 ni con un informe de pruebas de penetración realizadas por terceros. Preferimos decírtelo nosotros a que lo descubras en la pregunta 40 de un cuestionario. Dicho esto, hay tres cosas igual de ciertas:
- La infraestructura en la nube sobre la que funciona todo cuenta con ISO 27001, SOC 1/2/3, Cyber Essentials Plus y el resto de las siglas habituales; nuestro diseño sin servidor implica que queda muy poca parte del sistema que no gestionen ellos. Facilitamos el nombre del proveedor previa solicitud, en virtud de un acuerdo de confidencialidad o del DPA.
- Está prevista la certificación Cyber Essentials como nuestro siguiente paso formal, seguida de pruebas de seguridad independientes a medida que crezca la plataforma.
- Si mientras tanto tu evaluación necesita respuestas concretas, escríbenos: respondemos a los cuestionarios de seguridad por escrito, y lo hacen las mismas personas que construyeron el sistema.
Acuerdo de encargo del tratamiento
Todos los planes de pago incluyen, previa solicitud, nuestro acuerdo de encargo del tratamiento (DPA) estándar, que cubre las obligaciones del encargado del tratamiento según el RGPD del Reino Unido y el de la UE, la lista de subencargados del tratamiento que figura más arriba, las garantías para las transferencias internacionales y nuestras medidas de seguridad. Escríbenos y te lo enviaremos para que lo firmes. Las condiciones de DPA a medida están disponibles en el plan Enterprise.