Seguridad y confianza

1. Gobierno y gestión del riesgo

ERTIA adopta medidas técnicas y organizativas adecuadas a la naturaleza de cada servicio, los datos tratados y los riesgos identificados. Los controles se revisan cuando cambian la plataforma, las amenazas, los proveedores o los requisitos legales y contractuales.

Por seguridad, esta página describe el enfoque general y no publica configuraciones, topologías, credenciales ni detalles que puedan facilitar ataques. La documentación adicional que corresponda puede facilitarse a clientes por un canal controlado y sujeta a confidencialidad.

2. Identidad, acceso y trazabilidad

• Acceso limitado a usuarios autenticados y autorizados por su organización.
• Separación lógica de organizaciones, módulos, roles y ámbitos de información.
• Aplicación del principio de mínimo privilegio en las funciones administrativas y técnicas.
• Registro de actividad relevante para seguridad, soporte y auditoría según la función habilitada.
• Procedimientos para modificar o retirar accesos cuando dejan de ser necesarios.

La organización cliente administra sus usuarios y permisos y debe revisar que se correspondan con las funciones reales de cada persona. Las capacidades concretas dependen del módulo y del plan contratado.

3. Protección de la información

Las medidas se orientan a preservar la confidencialidad, integridad, disponibilidad y trazabilidad de la información durante su tratamiento. Incluyen controles sobre comunicaciones, autenticación, permisos, cambios, registros, copias y acceso de personal o proveedores cuando resulte necesario para prestar soporte.

Los datos no se venden ni se utilizan para publicidad ajena. Los proveedores que necesiten intervenir deben estar sujetos a obligaciones adecuadas de confidencialidad, seguridad y protección de datos.

4. Desarrollo, mantenimiento y vulnerabilidades

El mantenimiento del servicio contempla la revisión de cambios, la corrección de errores y la aplicación de actualizaciones de seguridad atendiendo a su riesgo. Las incidencias o vulnerabilidades comunicadas se analizan, priorizan y tratan conforme a su impacto y a los compromisos contractuales aplicables.

5. Continuidad, copias y recuperación

ERTIA mantiene procedimientos destinados a reducir el impacto de fallos y recuperar el servicio. La frecuencia de las copias, su retención, las pruebas de restauración y los objetivos de recuperación dependen de la arquitectura y de las condiciones contratadas para cada servicio.

No se publican en esta página valores genéricos de RTO, RPO o disponibilidad porque podrían no ser aplicables a todos los módulos y clientes. Los valores exigibles, cuando se hayan contratado, figurarán en el acuerdo de nivel de servicio o en la documentación correspondiente.

6. Privacidad e incidentes

ERTIA aplica la privacidad desde el diseño y por defecto dentro del alcance de sus servicios. Cuando actúa como encargado del tratamiento, gestiona los datos siguiendo las instrucciones documentadas de la organización responsable y el acuerdo de tratamiento de datos aplicable.

Los posibles incidentes se investigan, contienen y documentan. Cuando una violación de seguridad afecte a datos tratados por cuenta de una organización cliente, se le comunicará sin dilación indebida y con la información disponible necesaria para que pueda cumplir sus obligaciones.

7. Cumplimiento y evidencias

ERTIA presta sus servicios dentro del marco normativo y contractual aplicable, incluido el RGPD y la LOPDGDD cuando corresponda. Esta página no afirma certificaciones, auditorías independientes ni niveles de seguridad concretos que no hayan sido formalmente obtenidos y documentados.

Las organizaciones pueden solicitar la información razonablemente necesaria para sus evaluaciones de proveedor, acuerdos de tratamiento, subencargados y medidas de seguridad mediante los canales comerciales o de soporte de ERTIA.