Medidas de seguridad comunes a las herramientas de TODO.LAW
Lo que se aplica a todos los productos que alojamos: DPO Central, AI Sentinel, Dealroom y VendorWatch. La página de seguridad de cada producto añade lo que solo se aplica a ese producto.
Medidas comunes
Alojamiento
La suite de TODO.LAW se apoya en Vercel, con bases de datos PostgreSQL gestionadas por Neon. DPO Central, AI Sentinel y VendorWatch se ejecutan y guardan sus datos en Fráncfort (UE).
Cifrado
Todas las conexiones con los productos usan HTTPS (TLS). Nuestro proveedor de alojamiento cifra los datos guardados con AES-256. Nuestro proveedor de base de datos exige TLS en cada conexión a la base de datos y cifra los datos guardados con AES-256.
Inicio de sesión
Ningún producto usa ni guarda contraseñas. En nuestra nube inicias sesión con una cuenta de Google o con un enlace de un solo uso que recibes por correo electrónico, y un mismo inicio de sesión sirve para todas las aplicaciones de TODO.LAW. La sesión se guarda en una cookie segura y HTTP-only (SameSite=Lax), y las solicitudes de inicio de sesión tienen límite de peticiones. El inicio de sesión sin contraseña que ofrecen los kits de instalación propia para una red privada no se admite en nuestra nube.
Control de acceso
Cada producto comprueba en el servidor, en su propio código, que puedes ver o modificar un registro antes de hacerlo: por organización y rol en DPO Central y AI Sentinel, por tu participación en cada negociación en Dealroom y por tu cuenta en VendorWatch.
IA
Las funciones de IA vienen desactivadas; mientras lo están, ningún producto envía nada a un proveedor de IA. Cuando un administrador las activa, el texto del registro que se redacta va al proveedor de IA configurado en el servicio, que puede estar fuera de la UE. VendorWatch no envía tus datos a ningún proveedor de IA.
Pagos
Los pagos se hacen a través de Stripe, por lo que los datos de tu tarjeta nunca llegan a nuestros servidores. Comprobamos la firma de cada evento de pago que nos envía Stripe y rechazamos los que no la superan.
Correo electrónico
Los enlaces de inicio de sesión y los avisos se envían a través de Resend.
Copias de seguridad
Los datos de nuestra nube están cubiertos por la restauración a un momento dado de nuestro proveedor de base de datos. En tu propio hardware, DPO Central, AI Sentinel y Dealroom incluyen un script que hace copias cifradas de la base de datos; tú decides cuándo se hacen y dónde se guardan.
Tu propio hardware
DPO Central, AI Sentinel y Dealroom usan el mismo código en nuestra nube y en tu propio hardware; las diferencias son de configuración, no versiones distintas. En tu propio hardware los datos se quedan allí, salvo que conectes un servicio externo, como un proveedor de IA. VendorWatch solo se ofrece en nuestra nube.
Certificaciones
No tenemos una certificación de seguridad propia, como SOC 2 o ISO 27001. Nuestros proveedores publican las suyas: Vercel (SOC 2 Type II, ISO 27001), Neon (SOC 2 Type II, ISO 27001, ISO 27701), Resend (SOC 2 Type II) y Stripe (PCI DSS nivel 1, SOC 2 Type II). La lista de subencargados indica la función de cada proveedor y dónde están los datos. Lista de subencargados.
Comunicar una vulnerabilidad
Escribe a security@todo.law. No abras una incidencia pública. Confirmamos la recepción de cada aviso y te mantenemos informado hasta que se corrige.
Lo que añade cada producto
DPO Central
Cinco roles (Propietario, Administrador, Responsable de privacidad, Miembro, Lector), comprobados en cada cambio de los registros de la organización. Un registro de auditoría de la organización con exportación en CSV. Una política de seguridad de contenidos y HSTS de dos años. Los tokens de inicio de sesión de Google se eliminan antes de guardar la vinculación de la cuenta. En nuestra nube, los datos personales de una solicitud de derechos se eliminan 30 días después de cerrarla.
Página de seguridadAI Sentinel
Cinco roles (Propietario, Administrador, Responsable de IA, Miembro, Lector); los Lectores tienen acceso de solo lectura a los registros de gobernanza, aplicado en el servidor. Un registro de auditoría de los cambios en los registros de gobernanza y de las decisiones clave. HSTS y cabeceras que impiden la inserción en marcos, la detección de tipos de contenido y el acceso a la cámara, el micrófono y la ubicación.
Página de seguridadDealroom
Salvo los administradores del servicio, solo las partes de una negociación pueden verla. La otra parte se incorpora mediante una invitación por correo electrónico que solo puede usarse una vez y caduca a los 14 días. Las acciones de la negociación, del acuerdo y de la firma se anotan en un registro de auditoría. Los portales de administración exigen un segundo factor (una aplicación de autenticación). Los documentos del contrato se generan cuando se piden y no se guardan como archivos. El operador activa o desactiva la IA para todo el servicio. Las páginas usan un servicio de analítica sin cookies para contar las visitas.
VendorWatch
Solo en nuestra nube. Las claves de API se guardan solo como un hash y se muestran una vez. Al eliminar una cuenta se borran sus registros personales y se anonimizan los compartidos. Cabeceras que impiden la inserción en marcos, la detección de tipos de contenido y el acceso a la cámara, el micrófono y la ubicación. Las páginas usan un servicio de analítica sin cookies para contar las visitas.