Seguridad y protección de datos
Dónde están los datos
La infraestructura principal de VESTA está en la Unión Europea: base de datos en Supabase (UE) y automatización n8n operada por Cogniten sobre servidores de Hetzner Online GmbH (Alemania). Los proveedores de IA y WhatsApp pueden tratar datos fuera de la UE con garantías (decisión de adecuación o cláusulas contractuales tipo). La lista completa, con país y garantía de cada uno, está en Subencargados.
El resumen macro y normativo semanal usa Perplexity AI, Inc. (EE. UU.) solo con consultas públicas: no se le envían datos de clientes.
Medidas técnicas y organizativas
Estas son las medidas que aplicamos. Las marcadas como «política» son compromisos internos que revisamos y documentamos de forma progresiva.
- Sin acceso a tu banca online: VESTA lee saldos y movimientos desde tu ERP (Odoo u Holded, con el banco conectado en él) o desde el extracto que tú envías (Norma 43 o Excel), y no puede mover dinero. La conexión directa con el banco (PSD2, servicio de información sobre cuentas o AIS, a través de un proveedor autorizado) llegará próximamente; hoy no está activa.
- Acceso de solo lectura al ERP del cliente cuando se conecta (Odoo u Holded).
- Cifrado en tránsito (TLS) y en reposo.
- Control de acceso por filas (RLS) y principio de mínimo privilegio.
- Copias de seguridad diarias en la UE.
- Política: doble factor y gestor de credenciales para el personal con acceso; las credenciales nunca se guardan en el código.
- Política: pruebas periódicas de restauración de las copias de seguridad.
- Minimización de la información que se envía a los modelos de IA cuando es posible; según sus condiciones de servicio para empresas, los proveedores de IA no entrenan con los datos enviados.
- Registros de actividad y avisos automáticos de errores.
- Revisión anual de las medidas.
Acceso de autoridades a datos no personales
Si una autoridad requiere datos del cliente, NANWEL lo notificará al cliente antes de entregarlos, salvo prohibición legal, y entregará solo lo estrictamente exigido (cláusula 18.2 del contrato). Ante solicitudes de autoridades de fuera de la UE, NANWEL comprobará su base legal conforme al Reglamento (UE) 2023/2854 (Data Act) y, cuando proceda, se opondrá a ellas.
Brechas de seguridad
Se notifican al cliente sin dilación indebida y como máximo en 36 horas desde que se conocen (Anexo IV, punto 10).
Contacto
Seguridad y protección de datos: info@vesta-intelligence.com.