El acortador al que tu DPO no pondrá objeciones.

En la región de la UE por defecto. La base de datos, el almacén de analítica (flujo de clics), la caché en memoria, el almacenamiento de objetos (activos) y las copias de seguridad residen en la región de la UE. No se replican datos a EE. UU. o APAC a menos que un administrador fije explícitamente el espacio de trabajo en EE. UU. Este o Asia-Pacífico al momento de la creación, lo cual es una elección deliberada e irreversible (los espacios de trabajo no migran de región).

Se ha logrado la certificación ISO 27001. La auditoría SOC 2 Tipo II está en marcha con un objetivo para H2 2026; los controles y la evidencia ya son operativos, el período de auditoría es el factor determinante. Compartimos evidencia del Tipo 1 bajo solicitud con un NDA hoy; los informes del Tipo 2 se publicarán cuando estén listos. El Trust Center en /trust realiza el seguimiento del estado actual.

Pre-firmado y descargable desde /legal/dpa. El DPA hace referencia a nuestra lista de sub-procesadores en /legal/subprocessors como un documento vivo; los cambios de sub-procesadores otorgan un aviso de 30 días al cliente. Si necesitas revisiones del contrato, esa es una conversación de contrato para Business+; los valores predeterminados suelen ser aceptados por los DPOs de la UE sin modificaciones.

Cinco, en su mayoría con base en la UE: cómputo + alojamiento (UE), cómputo edge para clientes fuera de la UE (UE + APAC), correo electrónico transaccional (exclusión voluntaria para solo UE), pagos (UE) y un proxy + WAF de marketing (global con enrutamiento regional UE). La lista nominal completa con ubicaciones y el propósito de cada uno está en /legal/subprocessors. Agregar un sub-procesador activa un aviso al cliente de 30 días; no los incluimos discretamente.

Sí en la edición auto-hospedada. El SaaS de Elido cifra en reposo con AWS KMS (por región) y en tránsito con TLS 1.3; actualmente no admitimos KMS gestionado por el cliente en el SaaS multi-inquilino. El auto-hospedaje (Helm chart, con licencia Apache 2.0) te permite apuntar a tu propio KMS / Vault / HSM.

Brechas confirmadas de datos personales: 24 horas para notificación al cliente, 72 horas para notificación al regulador (GDPR Art. 33). La notificación cubre lo que sabemos en ese momento; no esperamos a la forense completa. El proceso está en nuestro Trust Center en /trust/incident-response.

Actuamos siguiendo las instrucciones del responsable del tratamiento (tú, el cliente). Los usuarios finales se ponen en contacto contigo; tú reenvías la solicitud a través del panel o la API y nosotros la cumplimos. No aceptamos directamente DSAR de usuarios finales porque no tendríamos forma de autenticarlos como sujetos de tu espacio de trabajo - esa autenticación es tuya.

No. El registro es de solo adición en la capa de la base de datos; incluso nuestros propios administradores no pueden editar entradas históricas. La eliminación de entradas antiguas más allá de la ventana de retención es automática y registra un meta-evento de 'purga por retención' para que el vacío sea en sí mismo auditable. Una alteración en vivo requeriría una intrusión a nivel de base de datos que eluda nuestro código de aplicación, que es el mismo modelo de amenaza que cualquier otra corrupción de tabla - cubierto por RLS y nuestros controles SOC 2.

Sí - security.txt en /.well-known/security.txt; política de divulgación coordinada en /trust/disclosure. El programa de recompensas por errores (bug bounty) se gestiona a través de HackerOne (programa privado; contáctanos en [email protected] para obtener una invitación si tienes un hallazgo no reportado).

Exportación completa de datos en cualquier momento a través de la API o una solicitud de soporte puntual. Paquete JSON + CSV que cubre enlaces, eventos de clic (sin procesar o agregados, tú eliges), registro de auditoría, miembros, configuración y marca. Tras la finalización del contrato, retenemos los datos durante 30 días para la recuperación por cancelación accidental, luego realizamos una purga física de las primarias, réplicas y copias de seguridad. Podemos emitir una confirmación de purga por escrito si tu DPA lo requiere.