Confianza, por escrito.
Elido está alojado en la UE por defecto, es compatible con el RGPD y se ha construido con pistas de auditoría integradas. A continuación separamos lo que existe hoy de lo que está previsto o en curso, y etiquetamos cada punto.
- Región de la UEEUEU-residency · por defecto
Donde residen hoy la base de datos principal, el almacén de analítica y las copias de seguridad, para todos los espacios de trabajo.
- EE. UU. EsteUSPrevista
Prevista. No implementada: hoy no se pueden fijar espacios de trabajo aquí.
- Asia-PacíficoAPACPrevista
Prevista. No implementada: hoy no se pueden fijar espacios de trabajo aquí.
Lo que «confianza» significa en términos de producto
Qué entendemos por confianza
Cada pilar se corresponde con algo concreto del producto, del DPA o del registro de auditoría.
EU-residency, por defecto
La base de datos, la analítica y las copias de seguridad están alojadas en la UE. Los nodos de redirección en EE. UU. (Ashburn) y Singapur tratan las solicitudes de los visitantes. La fijación por espacio de trabajo a EE. UU. Este o Asia-Pacífico todavía no está disponible.
Audit trail en todo
Ajustes de workspace, cambios de rol, rotaciones de claves, creación de enlaces, borrados, exportaciones. Cada evento tiene un quién, cuándo y qué, y es exportable.
Solo lectura por defecto para AI
Las integraciones de AI obtienen claves con alcance limitado y rotables. El acceso de escritura/borrado es un ajuste de workspace explícito y auditado, no un valor por defecto.
Claves gestionadas por el cliente (previstas)
El cifrado con clave propia (BYOK) todavía no está disponible. Las copias de seguridad de la base de datos se cifran antes de salir de nuestros servidores.
Pipeline antiabuso
Cada enlace pasa por un escáner compuesto (URLhaus + Google Safe Browsing + heurística) al crearse y de nuevo mediante un worker de reescaneo continuo.
Transparencia de subencargados
Lista completa, ubicación y finalidad. Nos comprometemos a avisar con 30 días de antelación de las incorporaciones.
Registro de auditoría append-only
Cada cambio de estado queda registrado.
La aplicación solo añade registros a la tabla de auditoría (no existe ninguna vía de actualización) y cada entrada está encadenada por hash a la anterior, de modo que cualquier manipulación es detectable con un endpoint de verificación para administradores. Esto opera a nivel de aplicación, no como restricción de permisos de la base de datos. Las entradas anteriores a la ventana de conservación se purgan a diario: 730 días por defecto, configurable por espacio de trabajo a partir de 30 días (por ejemplo, 6 años para espacios de trabajo HIPAA).
- Identidad del actorID de usuario o service principal, además de IP de origen y request ID
- Diff antes/despuésDiff JSON estructurado de la fila modificada - no una simple línea de texto
- Firehose a SIEMWebhook firmado con HMAC a Splunk / Datadog / ELK en tiempo real
- A prueba de manipulaciónEntradas encadenadas por hash con un endpoint de verificación de la cadena
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Solicitudes de acceso de los interesados
Derechos del interesado vía API.
Envíe las solicitudes de acceso y supresión a [email protected]; nuestro equipo registra cada una y controla el plazo de 30 días. Todavía no existe una API pública ni de autoservicio para solicitudes de interesados. Un paquete de acceso es un zip de archivos CSV: registro de la cuenta, pertenencia a espacios de trabajo, espacios de trabajo propios, enlaces, entradas del registro de auditoría en las que el interesado es el actor, y sesiones. La supresión anonimiza actualmente el correo electrónico y el nombre de la cuenta y cierra las sesiones; los eventos de clic (que incluyen direcciones IP de visitantes) todavía no se exportan ni se suprimen automáticamente. No hay un nivel acelerado.
- Paso 1
Solicitud del interesado
Usuario final → responsable (tú)El interesado te contacta. Lo autenticas en tu propio producto, no en Elido.
- Paso 2
Solicitud registrada
Envíe la solicitud por correo con el correo de la cuenta y el tipo de solicitud (exportar / suprimir); nuestro equipo la registra y verifica la identidad.
- Paso 3
Paquete del espacio de trabajo
zip · CSVCuenta, pertenencias, espacios de trabajo propios, enlaces, entradas del registro de auditoría en las que el interesado es el actor, sesiones. Los eventos de clic todavía no se incluyen.
- Paso 4
SLA
30 díasPlazo de un mes del RGPD, controlado en todas las solicitudes y en todos los planes.
Trece subencargados, listados públicamente
Trece proveedores. Listados públicamente.
La lista nominal completa con ubicación del proveedor, finalidad del tratamiento, categorías de datos y URL de referencia del DPA está en /legal/subprocessors. Añadir o reemplazar un subencargado dispara un aviso de 30 días a cada administrador del espacio de trabajo vía banner in-app y email antes de que comience el tratamiento, para que los clientes puedan oponerse.
- Cómputo y alojamientoISO 27001Infraestructura principal de aplicación + edgeEU · Alemania + Finlandia
- Cómputo edgeISO 27001 · SOC 2Nodos de redirección (reciben direcciones IP de visitantes)EE. UU. (Ashburn) + Singapur
- Entrega de correoEmail transaccionalUE + EE. UU.
- PagosPagos con tarjeta (Paddle fuera de Ucrania, monobank en Ucrania)Reino Unido / UE / UA
- CDN + WAFISO 27001 · SOC 2DNS, proxy y CAPTCHA; los proveedores de chat en vivo, IA, SSO y reputación de URL figuran en la lista completaGlobal · enrutamiento UE
Postura de cumplimiento
Dónde estamos con los marcos por los que preguntan los clientes.
Cada fila indica qué existe hoy y qué sigue en curso.
ISO 27001
No certificada. Trabajamos para obtener la ISO 27001; no se ha emitido ningún certificado y no hay fecha de auditoría pública.
SOC 2 Type II
Preparación de la auditoría en curso; el periodo de observación está previsto de finales de 2026 a 2027. Todavía no se ha emitido ningún informe SOC 2.
GDPR
DPA con CCT estándar disponible bajo petición, lista pública de subencargados. No todos los flujos de datos son exclusivos de la UE: véase la política de privacidad.
HIPAA-ready
BAA disponible en Business+; el registro de auditoría y los controles de acceso están implementados. Las condiciones legales se fijan en el propio BAA.
EU residency
La base de datos principal, la analítica y las copias de seguridad están en la UE. Los nodos de redirección en EE. UU. y Singapur tratan las solicitudes de los visitantes, por lo que sí se producen transferencias fuera de la UE.
Encryption
TLS en tránsito; copias de seguridad externas cifradas. BYOK todavía no está disponible.
FAQ de cumplimiento
Las preguntas que compras nos sigue enviando.
¿Firmáis un DPA?
Sí. Nuestro DPA estándar incluye las CCT de la UE. Todavía no se puede descargar ni se acepta en el proceso de pago: solicite una copia firmada a [email protected]. Las modificaciones personalizadas están disponibles en Business y Enterprise.
¿Cuántos subencargados usáis?
Trece, no todos con sede en la UE: alojamiento (UE y EE. UU.), edge de redirección (EE. UU., Singapur), copias de seguridad, correo transaccional, pagos (Paddle, monobank, Coinbase opcional), chat en vivo, IA, SSO, CAPTCHA/DNS, reputación de URL y un conjunto de datos de geolocalización sin conexión. La lista completa con nombres, ubicación y finalidad está en /legal/subprocessors.
¿El pinning de región está disponible en todos los planes?
Todavía no. Todos los espacios de trabajo se sirven desde la misma infraestructura (principal en la UE, con nodos de redirección también en EE. UU. y Singapur). La fijación por espacio de trabajo a EE. UU. Este o Asia-Pacífico está prevista, no implementada, y hoy no se ofrece en ningún plan.
¿Cuál es el plazo de DSAR?
30 días en todos los planes (un mes según el RGPD). Las solicitudes se envían a [email protected] y las gestiona nuestro equipo; no hay nivel acelerado ni API pública para solicitudes todavía. Los paquetes de acceso son un zip de archivos CSV; los eventos de clic todavía no se incluyen.
¿Cómo funcionan los BAAs para HIPAA?
BAA solo en Business+. El registro de auditoría y los controles de acceso son los mismos que en el nivel predeterminado. Escriba a [email protected] para empezar.
¿Hay opción self-host?
Existe un chart de Helm para Kubernetes en el repositorio. Las condiciones de licencia y el modelo de autoalojamiento admitido se fijan por contrato; contacte con [email protected] antes de depender del autoalojamiento.
¿Cómo notificáis los cambios de subencargados?
Añadir o sustituir un subencargado activa un aviso con 30 días de antelación mediante banner en la aplicación y correo electrónico a todos los administradores del espacio de trabajo. Los clientes pueden oponerse antes de que comience el tratamiento. Los cambios se reflejan en /legal/subprocessors.
¿Dónde publicáis los incidentes y el uptime?
Estado en vivo, incidentes recientes y post-mortems completos en /status. Las violaciones de datos personales se notifican a los clientes afectados según exigen el RGPD y el DPA.
Dónde mirar ahora
Empiece aquí si nos está evaluando para una decisión de compra.
Con quién compartimos datos, dónde se encuentran y por qué.
Firma antes de procesar datos personales de la EU.
Qué recopilamos (incluidas las direcciones IP de los visitantes), dónde se almacena y su conservación.
Arquitectura y prácticas de seguridad.
Uptime en vivo, incidentes recientes y post-mortems.
Contacto
¿Tienes alguna pregunta sobre seguridad?
[email protected] para informes de vulnerabilidades (PGP disponible). [email protected] para SOC 2 / ISO / DPA. Nuestro objetivo es responder en un día laborable.
Seguridad
Informes de vulnerabilidades, security.txt, clave PGP bajo petición. Nuestro objetivo es responder en un día laborable.
[email protected]Compliance
Solicitudes de SOC 2 / ISO, contrafirma de DPA, avisos de subencargados, proceso de BAA para HIPAA.
[email protected]Sales
Compras enterprise, cuestionarios de seguridad y solicitudes de términos a medida.
[email protected]Listos cuando compras lo esté.
DPA bajo petición, lista pública de subencargados, registro de auditoría en todos los planes. Empiece gratis o hable con ventas para un cuestionario de seguridad.