¿Visor tiene la certificación ISO 27001?

Sí. Visor tiene la certificación ISO/IEC 27001:2022. Puedes pedir el certificado en nuestro centro de confianza.

¿Visor cumple el RGPD?

Visor trata datos personales conforme al RGPD, y sus diez subencargados están en la UE. La lista completa muestra lo que trata cada uno.

¿Dónde se alojan los datos de los clientes?

En AWS, en la UE. El alojamiento, la infraestructura y las bases de datos de la plataforma funcionan allí. Consulta todos los subencargados y sus regiones.

¿Se usan los datos de los clientes para entrenar modelos de IA?

Cada proveedor de IA sigue sus propias condiciones. Azure, Deepgram, AssemblyAI y ElevenLabs no los usan para entrenar sus modelos. Vertex AI no entrena ni ajusta modelos con ellos sin permiso. Lee las condiciones de cada proveedor.

¿Cómo puedo solicitar el certificado y las políticas?

Pídelos en nuestro centro de confianza, alojado en Secfix. Consulta los cinco documentos. Para cualquier otra pregunta de seguridad, escribe a securityoffice@visor.ai.

Seguridad en Visor

Visor tiene la certificación ISO/IEC 27001:2022, y nuestros diez subencargados del tratamiento están en la UE. El certificado y nuestras políticas de seguridad están disponibles bajo petición.

Contacto de seguridad: securityoffice@visor.ai
Cómo tratamos los datos personales: Política de Privacidad

ISO/IEC 27001:2022 Certificación. La norma internacional de gestión de la seguridad de la información.
RGPD Visor trata datos personales conforme al Reglamento General de Protección de Datos.

Cómo protegemos los datos

Visor aplica 87 controles de seguridad, en cuatro grupos. Los que más nos preguntan van antes de la lista completa.

87 controles de seguridad

33 Organizativos
34 Tecnológicos
14 Físicos
6 Personas

Lo que más nos preguntan

Cifrado en reposo y en tránsito: Los datos en AWS se cifran en reposo y en tránsito, con normas para la criptografía y la gestión de claves.; Control: Uso de la criptografía
Autenticación multifactor: La autenticación segura confirma la identidad de los usuarios, con autenticación multifactor.; Control: Autenticación segura
Copias de seguridad probadas: Se hacen copias de seguridad de la información, el software y los sistemas, y se prueban con regularidad.; Control: Copias de seguridad de la información
Entornos separados: Desarrollo, prueba y producción están separados, y no se hacen pruebas en producción.; Control: Separación de los entornos de desarrollo, prueba y producción
Pruebas de penetración: Aplicaciones y código pasan pruebas de seguridad durante el desarrollo, incluidas pruebas de penetración.; Control: Pruebas de seguridad en el desarrollo y la aceptación
Investigación de antecedentes: Comprobación de antecedentes de candidatos y empleados, dentro de las normas legales y éticas.; Control: Investigación de antecedentes
Respuesta a incidentes y lecciones aprendidas: Los incidentes siguen procedimientos definidos, y las lecciones de incidentes pasados se aplican a los planes de respuesta y la formación.; Controles: Respuesta a incidentes y Aprendizaje de los incidentes de seguridad de la información
Auditorías internas y revisiones por la dirección: Auditorías internas anuales y revisiones por la dirección a intervalos fijos o tras cambios significativos.; Control: Revisión independiente de la seguridad de la información
Continuidad del negocio y recuperación ante desastres: Planes de continuidad del negocio y de recuperación ante desastres, y un plan de continuidad de los sistemas que se prueba con regularidad.; Controles: Preparación de las TIC para la continuidad del negocio, Seguridad de la información durante una interrupción
Registro y supervisión: La actividad y los eventos de seguridad se registran y analizan, y los sistemas se supervisan en busca de actividad anómala.; Controles: Registro de eventos, Actividades de seguimiento
Acceso restringido y revisiones de accesos: El acceso solo se concede a personas autorizadas, para tareas concretas, con revisiones de accesos periódicas.; Controles: Control de acceso, Derechos de acceso privilegiado

Los 87 controles

Controles organizativos 33

Uso aceptable de la información y otros activos asociados: Las normas de uso y manejo de la información y los activos de la empresa están definidas y comunicadas a todos.
Control de acceso: Solo las personas autorizadas acceden a cada información y recurso, con revisiones de accesos periódicas y acceso a la red solo para el personal autorizado.
Derechos de acceso: El acceso a herramientas e información se concede, ajusta y retira según sea necesario.
Seguridad de la información en los acuerdos con proveedores: Los acuerdos con proveedores fijan requisitos y responsabilidades de seguridad.
Evaluación y decisión sobre los eventos de seguridad de la información: Los eventos de seguridad se clasifican por gravedad, se escalan cuando hace falta y se registran para su análisis.
Información de autenticación: Las contraseñas y otros datos de acceso se gestionan y protegen.
Clasificación de la información: Los datos se clasifican y se tratan según su importancia y sensibilidad, conforme a una política escrita.
Recopilación de evidencias: Las evidencias de eventos de seguridad se identifican, recogen y conservan para posibles acciones legales o disciplinarias.
Cumplimiento de las políticas, normas y estándares de seguridad de la información: Responsables y propietarios de la información revisan el cumplimiento con regularidad, y las no conformidades se registran y resuelven.
Contacto con las autoridades: Está definido quién contacta con las autoridades, cuándo y cómo se notifican los incidentes a tiempo.
Contacto con grupos de interés especial: Visor sigue noticias y foros de seguridad sobre amenazas, buenas prácticas y nuevas vulnerabilidades.
Preparación de las TIC para la continuidad del negocio: Un plan mantiene los sistemas y la información disponibles durante una interrupción, y se prueba con regularidad.
Gestión de identidades: Las identidades y cuentas de usuario se gestionan durante todo su ciclo de vida, cada una única.
Revisión independiente de la seguridad de la información: Auditorías internas anuales y revisiones por la dirección a intervalos fijos o tras cambios significativos.
Seguridad de la información durante una interrupción: Las medidas de seguridad ante interrupciones están documentadas en los planes de continuidad del negocio y de recuperación ante desastres.
Seguridad de la información en el uso de servicios en la nube: Normas para elegir, gestionar y abandonar servicios en la nube, con funciones definidas.
Seguridad de la información en la gestión de proyectos: Los proyectos abordan los riesgos de seguridad, incluido el riesgo de proveedores mediante revisiones de cumplimiento.
Seguridad de la información en las relaciones con los proveedores: Existe una lista de proveedores, y quien trata datos de la empresa debe cumplir normas de seguridad.
Gestión de la seguridad de la información en la cadena de suministro de las TIC: Los proveedores de productos y servicios TIC reciben requisitos de seguridad, y se supervisa su cumplimiento.
Planificación y preparación de la gestión de incidentes de seguridad de la información: Funciones, responsabilidades y procedimientos ante incidentes están definidos y al alcance de todo el personal.
Funciones y responsabilidades en seguridad de la información: Las tareas de seguridad están asignadas, y cada persona conoce sus responsabilidades.
Transferencia de información: Los datos que se envían dentro o fuera de Visor siguen normas de transferencia segura.
Derechos de propiedad intelectual: Solo se usa software con licencia, y se cumple la ley de derechos de autor.
Etiquetado de la información: La información lleva una etiqueta con su nivel de seguridad para tratarla correctamente.
Aprendizaje de los incidentes de seguridad de la información: Las lecciones de incidentes pasados se aplican a las defensas, los planes de respuesta y la formación.
Requisitos legales, estatutarios, reglamentarios y contractuales: Los requisitos de seguridad legales, reglamentarios y contractuales, como DPA, NDA y SLA, están identificados y registrados.
Seguimiento, revisión y gestión de cambios de los servicios de proveedores: Los proveedores se revisan según su riesgo, con una revisión anual de los de riesgo alto.
Privacidad y protección de datos personales: Los datos personales se protegen conforme a la ley y los contratos, y las aplicaciones que los tratan entran en las revisiones de proveedores y accesos.
Protección de los registros: Los registros se guardan de forma segura con el mínimo acceso necesario, según procedimientos escritos de control documental.
Respuesta a incidentes de seguridad de la información: Los incidentes se gestionan con procedimientos definidos, recogida de evidencias y comunicación clara.
Devolución de activos: Quien deja la empresa devuelve sus activos mediante una lista de comprobación de salida.
Segregación de funciones: Las tareas están repartidas para que nadie concentre demasiado acceso o poder.
Inteligencia de amenazas: La información sobre amenazas se recoge y analiza para apoyar las decisiones.

Controles tecnológicos 34

Acceso al código fuente: El acceso de escritura al código fuente se limita a quien lo necesita.
Requisitos de seguridad de las aplicaciones: Los requisitos de seguridad, como autenticación y protección de datos, se definen al desarrollar o adquirir aplicaciones.
Gestión de la capacidad: El uso de recursos se supervisa y se ajusta según sea necesario.
Gestión de cambios: Los cambios en los sistemas siguen procedimientos definidos, con evaluación de impacto, pruebas y registro.
Sincronización del reloj: Los relojes de los sistemas se sincronizan con fuentes de hora aprobadas para registrar los eventos con precisión.
Gestión de la configuración: Hardware, software y redes siguen configuraciones seguras estándar, registradas y supervisadas.
Prevención de fugas de datos: Hay herramientas que detectan y detienen la difusión o exposición de datos sin autorización.
Enmascaramiento de datos: Los datos sensibles, como los personales, se enmascaran, seudonimizan o anonimizan para limitar su exposición.
Restricción del acceso a la información: El acceso a la información y a los activos se restringe según las políticas.
Copias de seguridad de la información: Se hacen copias de seguridad de la información, el software y los sistemas, y se prueban con regularidad, según una política de copias de seguridad.
Eliminación de la información: La información que ya no se necesita se elimina con métodos aprobados, y cada eliminación queda registrada.
Instalación de software en sistemas en producción: Solo administradores formados y autorizados instalan software en los sistemas en producción.
Registro de eventos: La actividad de los sistemas y los eventos de seguridad se registran, y los registros se protegen contra cambios y se analizan en busca de actividad anómala.
Gestión de las vulnerabilidades técnicas: Las vulnerabilidades técnicas se identifican, evalúan, corrigen y documentan.
Actividades de seguimiento: Redes, sistemas y aplicaciones se supervisan en busca de actividad anómala, con alertas.
Seguridad de redes: Las redes y conexiones se protegen con cortafuegos, supervisión y autenticación.
Desarrollo externalizado: El desarrollo externalizado tiene requisitos de seguridad definidos y se supervisa.
Derechos de acceso privilegiado: El acceso privilegiado solo se concede a usuarios autorizados, para tareas concretas, y se revisa con regularidad.
Protección contra el malware: Detección de malware, formación y control de acceso protegen los sistemas.
Protección de los sistemas de información durante las pruebas de auditoría: Las pruebas de auditoría se acuerdan con la dirección, con acceso limitado y supervisión.
Redundancia de las instalaciones de procesamiento de la información: Sistemas redundantes mantienen el procesamiento en marcha si falla un componente.
Autenticación segura: Métodos de autenticación segura confirman la identidad de los usuarios, con autenticación multifactor.
Codificación segura: Se aplican principios de codificación segura, como no incluir contraseñas en el código, usar cifrado y mantener las bibliotecas actualizadas.
Ciclo de vida de desarrollo seguro: La seguridad forma parte del diseño, las normas de codificación, las pruebas y la formación de los desarrolladores.
Principios de arquitectura e ingeniería de sistemas seguros: Los sistemas se diseñan según principios escritos de ingeniería segura.
Seguridad de los servicios de red: Los servicios de red tienen medidas de seguridad, normas de uso y supervisión de los proveedores.
Pruebas de seguridad en el desarrollo y la aceptación: Aplicaciones y código pasan pruebas de seguridad durante el desarrollo, incluidas pruebas de penetración.
Segregación de redes: La red está dividida en zonas con sus propias reglas de acceso y cortafuegos.
Separación de los entornos de desarrollo, prueba y producción: Desarrollo, prueba y producción están separados, y no se hacen pruebas en producción.
Información de prueba: Los cambios en los sistemas se evalúan, se prueban, incluidas pruebas de seguridad, y se registran.
Uso de la criptografía: Normas de uso de la criptografía, incluida la gestión de claves. El cifrado se contempla para los datos en reposo y en tránsito.
Uso de programas de utilidad con privilegios: Solo usuarios de confianza usan programas de utilidad capaces de anular controles, y cada uso queda registrado.
Dispositivos finales de usuario: La información en los dispositivos de los usuarios se protege con políticas, control de acceso, cifrado y formación, incluidos los dispositivos personales.
Filtrado web: Los sitios peligrosos se bloquean por IP y dominio, y el equipo aprende a navegar con seguridad.

Controles físicos 14

Seguridad del cableado: Los cables de energía y datos están protegidos contra interferencias y daños.
Puesto de trabajo despejado y pantalla limpia: Las normas de mesa despejada y bloqueo de pantalla protegen la información que queda sin vigilancia.
Mantenimiento de los equipos: Los equipos se mantienen según las indicaciones del proveedor, y las averías se registran.
Emplazamiento y protección de los equipos: Los equipos se colocan y protegen contra accesos no autorizados y daños.
Entrada física: Solo las personas aprobadas entran en las áreas sensibles.
Supervisión de la seguridad física: Las instalaciones tienen vigilancia continua y alarmas.
Perímetros de seguridad física: Paredes, puertas y ventanas de las áreas sensibles están protegidas y vigiladas.
Protección contra las amenazas físicas y ambientales: Hay medidas contra desastres naturales y otras amenazas físicas.
Eliminación o reutilización segura de los equipos: Los datos se borran de los equipos antes de eliminarlos o reutilizarlos.
Seguridad de oficinas, despachos e instalaciones: Los espacios que tratan información confidencial están protegidos y son discretos.
Seguridad de los activos fuera de las instalaciones: Portátiles y móviles usados fuera de la oficina están protegidos contra daños y accesos no autorizados.
Soportes de almacenamiento: Los soportes de almacenamiento se cifran y se eliminan de forma segura, según normas claras.
Servicios de suministro: Las operaciones están protegidas contra cortes de energía y fallos de otros suministros.
Trabajo en áreas seguras: El trabajo en áreas seguras se supervisa, con control de acceso y límites a los dispositivos personales.

Controles de personas 6

Acuerdos de confidencialidad o no divulgación: El personal y las partes pertinentes firman acuerdos de confidencialidad, que se revisan con regularidad.
Notificación de eventos de seguridad de la información: El personal tiene una forma rápida y sencilla de notificar posibles problemas de seguridad.
Trabajo en remoto: Normas y medidas de seguridad cubren el trabajo con información fuera de la oficina.
Responsabilidades tras el cese o cambio de empleo: Las obligaciones de seguridad continúan cuando alguien deja la empresa o cambia de función, y esa persona lo sabe.
Investigación de antecedentes: Comprobación de antecedentes de candidatos y empleados, dentro de las normas legales y éticas.
Términos y condiciones del empleo: Los contratos de trabajo fijan las responsabilidades de seguridad de ambas partes.

Pide nuestros documentos de seguridad

Estos documentos están disponibles bajo petición en nuestro centro de confianza, alojado en Secfix.

Certificaciones

ISO/IEC 27001:2022 Certificate Disponible bajo petición

Políticas

POL-00 ISMS List of documents Disponible bajo petición
POL-01 Scope of the ISMS Disponible bajo petición
POL-02 Information Security Management System Disponible bajo petición
POL-04 Information Security & Acceptable Use Disponible bajo petición

Pide los documentos en el centro de confianza

Abre el centro de confianza en una pestaña nueva.

Dónde están los datos y quién los trata

Diez subencargados tratan datos para Visor. Todos están en la UE.

Proveedor	Finalidad	Datos tratados	Región
	Correo de empresa, almacenamiento de documentos, colaboración y calendarios	Direcciones de correo, nombres, datos de contacto, documentos y archivos compartidos, registros	UE
	Infraestructura en la nube, alojamiento y bases de datos que hacen funcionar la plataforma y guardan los datos	Datos de clientes, incluidos datos personales, y registros (información del dispositivo)	UE
Azure	Servicios en la nube; proveedor de modelos de lenguaje de gran tamaño	Prompts, respuestas generadas y metadatos asociados	UE
Vonage	APIs de comunicación y telefonía para voz y mensajería	Números de teléfono, nombres de contactos, registros de llamadas y metadatos de mensajes	UE
	Gestión de proyectos, seguimiento de incidencias y tickets de soporte	Direcciones de correo, nombres, contenido y metadatos de los tickets de soporte	UE
	RR. HH.	Solo datos de empleados de Visor	UE
Vertex AI	Modelos de lenguaje Gemini que usan los agentes de IA para procesar conversaciones	Prompts, respuestas generadas y metadatos asociados	UE Región Vertex AI europe-west8
	Voz a texto en las llamadas que atiende el Voice AI Agent	Audio y transcripciones de las llamadas	UE Endpoint dedicado en la UE
	Voz a texto en las llamadas que atiende el Voice AI Agent	Audio y transcripciones de las llamadas	UE Endpoint dedicado en la UE
	Texto a voz	Texto que se convierte en voz y el audio generado	UE Residencia de datos en la UE

La IA y tus datos

Todos los proveedores de IA del circuito de voz y chat funcionan en la UE. Cada uno trata los datos de los clientes según sus propias condiciones.

Azure UE: Puede tratar prompts, respuestas generadas y metadatos asociados. Microsoft no usa datos de clientes para entrenar ni mejorar modelos.
Vertex AI UE, región europe-west8: Google no usa datos de clientes para entrenar ni ajustar modelos sin el permiso del cliente. Las entradas pueden guardarse en memoria durante un periodo limitado para reducir la latencia, y los prompts pueden registrarse para detectar abusos, según las condiciones de Google Cloud.
Endpoint dedicado en la UE: Las solicitudes de Visor están excluidas del Model Improvement Program de Deepgram, así que el audio de los clientes no se usa para entrenar los modelos de Deepgram. El audio solo se conserva el tiempo necesario para procesar cada solicitud.
Endpoint dedicado en la UE: La cuenta de Visor está excluida del programa de mejora de modelos de AssemblyAI, así que los datos de los clientes no se usan para entrenar sus modelos ni para benchmarking.
Residencia de datos en la UE: Se usa con un acuerdo empresarial con residencia de datos en la UE y Zero Retention Mode, así que el contenido no se conserva en los servidores de ElevenLabs tras el procesamiento y no se usa para entrenar sus modelos.

Preguntas frecuentes

¿Visor tiene la certificación ISO 27001?: Sí. Visor tiene la certificación ISO/IEC 27001:2022. Puedes pedir el certificado en nuestro centro de confianza.
¿Visor cumple el RGPD?: Visor trata datos personales conforme al RGPD, y sus diez subencargados están en la UE. La lista completa muestra lo que trata cada uno.
¿Dónde se alojan los datos de los clientes?: En AWS, en la UE. El alojamiento, la infraestructura y las bases de datos de la plataforma funcionan allí. Consulta todos los subencargados y sus regiones.
¿Se usan los datos de los clientes para entrenar modelos de IA?: Cada proveedor de IA sigue sus propias condiciones. Azure, Deepgram, AssemblyAI y ElevenLabs no los usan para entrenar sus modelos. Vertex AI no entrena ni ajusta modelos con ellos sin permiso. Lee las condiciones de cada proveedor.
¿Cómo puedo solicitar el certificado y las políticas?: Pídelos en nuestro centro de confianza, alojado en Secfix. Consulta los cinco documentos. Para cualquier otra pregunta de seguridad, escribe a securityoffice@visor.ai.