Gobernanza y
Seguridad

Gobernanza dentro del flujo, no añadida después

La automatización de flujos empresariales solo escala cuando quienes responden por ella pueden verla y controlarla. La gobernanza en la plataforma no es un producto aparte ni un informe que se ejecuta a final de trimestre: la misma capa que enruta una solicitud decide quién puede actuar sobre ella, registra lo que hizo y conserva ese registro para su revisión.

Eso importa sobre todo en los procesos que la automatización toca primero, como aprobaciones, compras, altas y controles de cumplimiento, donde una firma que falta o un cambio sin rastro es un hallazgo de auditoría, no una molestia.

Control de acceso por roles con mínimo privilegio

Los permisos se conceden por rol, equipo y unidad organizativa, y son granulares: quién puede diseñar un proceso, quién puede desplegarlo, quién puede iniciarlo y quién solo puede leer sus resultados son decisiones distintas. El acceso sigue el principio de mínimo privilegio, y lo aplica la plataforma en lugar de darse por hecho.

Como los roles se definen una vez y se reutilizan, un cambio de responsabilidades es un cambio en un rol, no una búsqueda por cada flujo que esa persona tocó alguna vez.

Jerarquías organizativas e inquilinos separados

Las grandes organizaciones no son planas. Las jerarquías organizativas permiten que filiales, regiones y departamentos compartan la plataforma mientras cada uno conserva sus propios usuarios, datos y procesos, con soporte multi-tenant para que ninguna unidad vea por error los registros de otra.

Un registro de auditoría que puedes entregar a un auditor

Cada paso de un flujo gobernado registra quién hizo qué, cuándo y por qué. El resultado es trazabilidad completa desde la primera solicitud hasta la aprobación final, legible por quienes tienen que defender el proceso, ya sea auditoría interna, un regulador o la revisión de seguridad de un cliente.

Cifrado y acceso reforzado

Los datos personales se cifran en tránsito y en reposo, y los sistemas se ejecutan en centros de datos seguros de AWS. Los riesgos sobre los datos personales se evalúan y gestionan de forma continua, existe un plan formal de respuesta a incidentes y los proveedores externos pasan por diligencia debida y supervisión continua. La seguridad y la privacidad forman parte del diseño del producto, no se añaden después.

Publicaciones controladas

La gobernanza no termina en la ejecución. Las aplicaciones llevan un historial de versiones claro, se validan en entornos previos antes de promocionarse y pueden revertirse, de modo que un cambio solo llega a producción después de probarse y aprobarse.

Certificado, y comprometido por contrato

La gestión de seguridad de la información y de la privacidad que hay detrás de estos controles está certificada en ISO/IEC 27001 e ISO/IEC 27701, y ambos certificados pueden descargarse íntegros. Los acuerdos le ponen cifras: disponibilidad mensual del 99,9 % (Términos de uso, cláusula 8.1), notificación de brechas en 72 horas (Acuerdo de tratamiento de datos, cláusula 11.3), 60 días para recuperar tus datos (Términos de uso, cláusula 13) y seis subencargados nombrados (Acuerdo de tratamiento de datos, anexo 1).

Las preguntas de una revisión de seguridad, respondidas en un sitio

¿Dónde viven los datos? En centros de datos seguros de AWS. ¿Quién más los trata? Seis empresas, nombradas con su país y finalidad en el anexo 1 del acuerdo de tratamiento de datos: Amazon Web Services para el alojamiento de la plataforma, Coralogix para los archivos de registro, Zoho para los tiques de soporte, Google para el correo del personal, y Hyverr y PurpleTalk para el soporte de segundo y tercer nivel.

¿Cómo nos enteraríamos de una brecha? En 72 horas, por contrato. ¿Qué pasa si nos vamos? Tienes 60 días para recuperar tus datos. ¿Quién está formado para tratarlos? Todo el personal recibe formación periódica en seguridad y obligaciones de privacidad. Cada respuesta apunta a un documento que tus equipos legal y de seguridad pueden abrir y comprobar, no a un sello.