El acortador al que tu DPO no pondrá objeciones.
Mides el tiempo de respuesta de DSAR, la vigencia de las pruebas de SOC 2 y cuántas consultas de proveedores cuesta un ciclo de ventas. Elido es el acortador que tu DPA no rechazará.
- Región de la UE por defecto para cada espacio de trabajo
- Registro de auditoría de solo anexado y encadenado por hash en la aplicación
- 13 subencargados, todos listados públicamente con ubicación + finalidad
- API de DSAR con SLA de 30 días (5 días expedito en Business)
- EU regioneu · primary originEU residency · default
Primary database, analytics store and backups are hosted here (Hetzner, Germany and Finland).
- US Eastus-east · redirect edgeEdge node
Redirect node in Ashburn. Processes visitor requests and IP addresses; no per-workspace region selection.
- Asia-Pacificapac · redirect edgeEdge node
Redirect node in Singapore. Processes visitor requests and IP addresses; no per-workspace region selection.
Log de auditoría de solo adición
Cada cambio de estado. Actor, IP, diff antes/después, origen.
La aplicación solo añade registros a la tabla de auditoría y cada entrada está encadenada por hash a la anterior, de modo que cualquier manipulación es detectable. Esto opera a nivel de aplicación, no como restricción de permisos de la base de datos. La conservación es de 730 días por defecto y configurable por espacio de trabajo.
- Identidad del actorID de usuario o principal de servicio, más IP de origen e ID de solicitud
- Diff antes/despuésDiff JSON estructurado de la fila modificada - no solo una línea de texto en el log
- Firehose hacia SIEMWebhook firmado con HMAC a Splunk / Datadog / ELK en tiempo real
- A prueba de manipulacionesEntradas encadenadas por hash con un endpoint de verificación de la cadena
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Solicitudes de acceso de interesados
DSAR, no ticket de soporte. Llamada a la API, bundle firmado, reloj de SLA.
Recibes una solicitud de un interesado de tu usuario final. La reenvías a través del panel de control o la API como una solicitud de responsable en nombre del interesado - Elido autentica al responsable (tú), no al interesado. El bundle es un ZIP firmado: registro de identidad, enlaces, entradas del log de auditoría donde el interesado es el actor, recibos de facturación si el interesado es propietario del espacio de trabajo. El SLA estándar es de 30 días; Business expedito responde en menos de 5 días hábiles.
- Step 1
Subject request
End user → controller (you)Subject contacts you. You authenticate them in your own product, not in Elido.
- Step 2
DSAR API call
POST /v1/dsarForward as a controller-on-behalf request with subject email + request type (export / erase).
- Step 3
Workspace bundle
signed zip · JSON + CSVIdentity, links, audit-log entries where subject is actor, billing if owner, anonymised click metadata.
- Step 4
SLA
30 days · 5 days expeditedStandard SLA on every plan; Business expedited tier returns inside 5 business days.
Trece subencargados, listados públicamente
Alojamiento, edge, copias de seguridad, correo, pagos, chat, IA, SSO, CAPTCHA, comprobaciones de URL. Trece proveedores. Esa es la lista.
La lista nominal completa con ubicación del proveedor, finalidad del tratamiento, categorías de datos y URL de referencia del DPA está disponible en /legal/subprocessors. Añadir o reemplazar un sub-procesador activa un aviso de 30 días a cada administrador del espacio de trabajo mediante banner en la app y correo electrónico antes de que comience el tratamiento, para que los clientes puedan oponerse.
- Compute & hostingISO 27001Primary app + edge infrastructureEU · Germany + Finland
- Edge computeISO 27001 · SOC 2Redirect edge nodesUS + APAC
- Email deliverySOC 2 Type IITransactional emailEU (opt-out for EU-only)
- PaymentsPCI DSS L1Card acquiringEU
- CDN + WAFISO 27001 · SOC 2Marketing proxy (not redirect path)Global · EU routing
Lo que puedes incluir en el expediente de compras
- Región de la UE por defecto para cada espacio de trabajo
- Registro de auditoría de solo anexado y encadenado por hash en la aplicación
- 13 subencargados, todos listados públicamente con ubicación + finalidad
- API de DSAR con SLA de 30 días (5 días expedito en Business)
- SOC 2 en preparación, ISO 27001 no certificada
- BAA compatible con HIPAA en Business+ con salvaguardias ya integradas
Cómo se ve el 'compliance' en el producto
La mayoría de los acortadores responden a las preguntas de cumplimiento con un documento de una página y un cuestionario de proveedores. Las funciones a continuación son lo que realmente está implementado en el código, no promesas en una presentación de adquisiciones.
Datos principales alojados en la UE
La base de datos principal, el almacén de analítica, los metadatos de enlaces y las copias de seguridad están alojados en la UE (Hetzner, Alemania y Finlandia). Nuestra red de redirección también funciona en Hetzner Ashburn (EE. UU.) y OVH Singapur, por lo que allí se procesan las solicitudes de los visitantes, sus direcciones IP, user agents y referentes, y esos nodos pueden conservar copias en caché o replicadas de los datos de enlaces. La selección de región por espacio de trabajo aún no está disponible: cada espacio se sirve desde la misma infraestructura. Las copias de seguridad se cifran antes de subirse.
Registro de solo adición de cada cambio de estado
Ajustes del espacio de trabajo, emisión y rotación de claves API, invitaciones de miembros y cambios de rol, reclamaciones de dominios personalizados, cambios de marca, cambios de plan, y creación, edición y borrado de enlaces: cada mutación que cambia el estado llega al registro de auditoría con actor, marca de tiempo UTC, diff JSON antes/después, IP de origen e identificador de solicitud. La retención es de 730 días por defecto y configurable por espacio de trabajo. Los eventos pueden enviarse a un SIEM (Splunk, Datadog, ELK) mediante webhook firmado. La aplicación solo añade filas a la tabla de auditoría y cada entrada está encadenada por hash a la anterior, de modo que la manipulación es detectable con un endpoint de verificación. Es una protección a nivel de aplicación, no una restricción de permisos de la base de datos.
Trece proveedores, todos listados públicamente
Utilizamos trece subencargados y la lista se publica íntegra: alojamiento y base de datos (UE - Alemania + Finlandia, además de un nodo edge en EE. UU.), edge de redirección (EE. UU. y Singapur), copias de seguridad cifradas, correo transaccional, pagos (Paddle fuera de Ucrania, monobank en Ucrania), chat en vivo, funciones de IA, SSO empresarial, CAPTCHA y DNS/proxy, comprobaciones de reputación de URL y un conjunto de datos de geolocalización sin conexión. La lista completa con nombres, ubicación del proveedor y finalidad del tratamiento está en /legal/subprocessors. Añadir o sustituir un subencargado activa un aviso con 30 días de antelación a todos los administradores del espacio de trabajo mediante banner en la aplicación y correo electrónico antes de que comience el tratamiento, para que los clientes puedan oponerse.
Exportar y borrar a través de API, no un ticket de soporte
La API DSAR devuelve un paquete por interesado en JSON y CSV dentro de un zip firmado: registro de identidad, enlaces del interesado, entradas del registro de auditoría donde es el actor, y recibos de facturación e historial de planes para propietarios de espacio. Una solicitud de supresión anonimiza el registro de la cuenta (correo y nombre), cierra las sesiones y elimina la identidad de inicio de sesión; los registros de facturación se conservan donde la ley lo exige. Los eventos de clic registrados sobre visitantes de enlaces cortos (incluidas las direcciones IP) todavía no se incluyen automáticamente; envíenos el enlace corto y lo gestionaremos caso por caso. El plazo de respuesta estándar es de 30 días.
SOC 2 en preparación, listo para HIPAA
SOC 2 está en preparación: no se ha emitido ningún informe de auditoría y no afirmamos estar certificados. ISO 27001 no está certificada. El conjunto de controles que preparamos incluye revisiones de acceso, tickets de gestión de cambios, cadencia de escaneo de vulnerabilidades, simulacros de incidentes y revisiones de riesgo de proveedores. «Listo para HIPAA» en Business+ significa que firmamos un BAA que cubre a Elido como business associate, con las salvaguardas implementadas: cifrado en reposo y en tránsito, registro de auditoría de solo añadir, RBAC, claves API con alcance limitado y un procedimiento documentado de notificación de brechas en 72 horas. HIPAA es en sí una autoatestación del sector: el BAA más las salvaguardas es lo que piden los auditores. Los cambios de postura aparecen en /changelog el día en que se lanzan.
El stack que evidenciarás
- EU-residency
- GDPR DPA
- SOC 2 (en preparación)
- ISO 27001 (prevista)
- Log de auditoría + transmisión SIEM
- DSAR API
Lo que tu DPO mide
- Cantidad de sub-procesadores
- 13, lista pública
- Respuesta a DSAR
- Menos de 30 días
- Retención del log de auditoría
- 730 días por defecto
Qué cambia cuando el comprador es el área de cumplimiento
Si tu DPO está revisando al proveedor, estas son las preguntas que hará. Respuestas honestas en tres opciones.
Preguntas comunes de adquisiciones
¿Dónde se almacenan exactamente nuestros datos?
En la UE: base de datos principal, almacén de analítica, metadatos de enlaces y copias de seguridad. Los nodos de redirección también funcionan en EE. UU. (Ashburn) y Singapur y procesan allí las solicitudes de los visitantes. La selección de región por espacio de trabajo aún no está disponible.
¿Están dentro del alcance de SOC 2 / ISO 27001?
SOC 2 está en preparación y no se ha emitido ningún informe. ISO 27001 no está certificada. No afirmamos ninguna de las dos. El Trust Center en /trust refleja el estado actual.
¿Firman un DPA?
Disponible bajo petición en [email protected]; incluye las CCT de la UE. El DPA remite a nuestra lista de subencargados en /legal/subprocessors como documento vivo; los cambios se avisan con 30 días de antelación. Si necesita modificaciones, contacte con nosotros.
¿Cuántos sub-procesadores están involucrados?
Trece, no todos en la UE: alojamiento y base de datos (Hetzner, DE/FI, más un nodo edge en EE. UU. en Ashburn), edge de redirección (OVH, Singapur), copias de seguridad cifradas (Backblaze), correo transaccional, pagos (Paddle fuera de Ucrania, monobank en Ucrania, Coinbase Commerce solo si está activado), chat en vivo, funciones de IA, SSO empresarial, CAPTCHA y DNS/proxy, comprobaciones de reputación de URL y un conjunto de geolocalización sin conexión. La lista nominal completa con ubicación y finalidad de cada uno está en /legal/subprocessors. Añadir un subencargado activa un aviso de 30 días a los clientes.
¿Podemos traer nuestro propio HSM / KMS para las claves de cifrado?
No en el SaaS multiinquilino: las claves gestionadas por el cliente aún no están disponibles. Las copias de seguridad de la base de datos se cifran antes de salir de nuestros servidores. El autoalojamiento está disponible por contrato (Enterprise); contacte con [email protected].
¿Cuál es el SLA de notificación de brechas?
Brechas confirmadas de datos personales: 24 horas para notificación al cliente, 72 horas para notificación al regulador (GDPR Art. 33). La notificación cubre lo que sabemos en ese momento; no esperamos a la forense completa. El proceso está en nuestro Trust Center en /trust/incident-response.
¿Cumplen con los DSAR de los usuarios finales (interesados), no solo de nosotros como clientes?
Actuamos siguiendo las instrucciones del responsable del tratamiento (tú, el cliente). Los usuarios finales se ponen en contacto contigo; tú reenvías la solicitud a través del panel o la API y nosotros la cumplimos. No aceptamos directamente DSAR de usuarios finales porque no tendríamos forma de autenticarlos como sujetos de tu espacio de trabajo - esa autenticación es tuya.
¿Puede el registro de auditoría ser alterado por un administrador de Elido?
No a través del producto. La aplicación solo añade filas a la tabla de auditoría y cada entrada está encadenada por hash a la anterior, de modo que la manipulación es detectable con el endpoint de verificación. Es una protección a nivel de aplicación, no una restricción de permisos de la base de datos: alguien con acceso directo a la base podría alterar filas, pero la cadena dejaría de verificarse. El borrado pasado el plazo de retención (730 días por defecto) es automático y registra un metaevento «retention purge».
¿Tienen un archivo security.txt público / política de divulgación coordinada?
Sí: security.txt en /.well-known/security.txt; política de divulgación coordinada en /trust/disclosure. Informe las vulnerabilidades a [email protected]. Se está montando un programa de bug bounty de pago en HackerOne que aún no está activo.
¿Qué sucede al finalizar el contrato? ¿Cómo sacamos nuestros datos?
Exportación completa de datos en cualquier momento a través de la API o una solicitud de soporte puntual. Paquete JSON + CSV que cubre enlaces, eventos de clic (sin procesar o agregados, tú eliges), registro de auditoría, miembros, configuración y marca. Tras la finalización del contrato, retenemos los datos durante 30 días para la recuperación por cancelación accidental, luego realizamos una purga física de las primarias, réplicas y copias de seguridad. Podemos emitir una confirmación de purga por escrito si tu DPA lo requiere.
Lista de lectura del DPO
Sub-procesadores, DPA, security.txt - la versión pública de cada afirmación de esta página.
DPA de RGPD disponible bajo petición. CCT estándar de la UE incluidas.
Trece proveedores, lista pública con ubicación y finalidad por fila.
Cifrado, control de acceso, divulgación de vulnerabilidades, plazos de respuesta a incidentes.
SAML / OIDC + sincronización de directorio SCIM gestionados por WorkOS; desaprovisionamiento en minutos.
Endpoints de DSAR, streaming del log de auditoría, claves de API con ámbito - tipados en TS / Py / Go.
¿No estás seguro de qué enfoque se adapta?
La mayoría de los equipos comienzan como uno y crecen hasta abarcar los cuatro. Nuestro equipo de ventas puede revisar tu stack específico en 20 minutos.