--- title: "Seguridad en Visor: ISO/IEC 27001:2022, RGPD y subencargados" canonical: https://www.visor.ai/es/security/ lang: es --- # Seguridad en Visor Visor tiene la certificación ISO/IEC 27001:2022, y nuestros diez subencargados del tratamiento están en la UE. El certificado y nuestras políticas de seguridad están disponibles bajo petición. Contacto de seguridad [securityoffice@visor.ai](mailto:securityoffice@visor.ai) Cómo tratamos los datos personales [Política de Privacidad](https://www.visor.ai/es/privacy-policy/) - **ISO/IEC 27001:2022** Certificación. La norma internacional de gestión de la seguridad de la información. - **RGPD** Visor trata datos personales conforme al Reglamento General de Protección de Datos. ## Cómo protegemos los datos Visor aplica 87 controles de seguridad, en cuatro grupos. Los que más nos preguntan van antes de la lista completa. **87** controles de seguridad - **33** Organizativos - **34** Tecnológicos - **14** Físicos - **6** Personas ### Lo que más nos preguntan Cifrado en reposo y en tránsito Los datos en AWS se cifran en reposo y en tránsito, con normas para la criptografía y la gestión de claves. Control: Uso de la criptografía Autenticación multifactor La autenticación segura confirma la identidad de los usuarios, con autenticación multifactor. Control: Autenticación segura Copias de seguridad probadas Se hacen copias de seguridad de la información, el software y los sistemas, y se prueban con regularidad. Control: Copias de seguridad de la información Entornos separados Desarrollo, prueba y producción están separados, y no se hacen pruebas en producción. Control: Separación de los entornos de desarrollo, prueba y producción Pruebas de penetración Aplicaciones y código pasan pruebas de seguridad durante el desarrollo, incluidas pruebas de penetración. Control: Pruebas de seguridad en el desarrollo y la aceptación Investigación de antecedentes Comprobación de antecedentes de candidatos y empleados, dentro de las normas legales y éticas. Control: Investigación de antecedentes Respuesta a incidentes y lecciones aprendidas Los incidentes siguen procedimientos definidos, y las lecciones de incidentes pasados se aplican a los planes de respuesta y la formación. Controles: Respuesta a incidentes y Aprendizaje de los incidentes de seguridad de la información Auditorías internas y revisiones por la dirección Auditorías internas anuales y revisiones por la dirección a intervalos fijos o tras cambios significativos. Control: Revisión independiente de la seguridad de la información Continuidad del negocio y recuperación ante desastres Planes de continuidad del negocio y de recuperación ante desastres, y un plan de continuidad de los sistemas que se prueba con regularidad. Controles: Preparación de las TIC para la continuidad del negocio, Seguridad de la información durante una interrupción Registro y supervisión La actividad y los eventos de seguridad se registran y analizan, y los sistemas se supervisan en busca de actividad anómala. Controles: Registro de eventos, Actividades de seguimiento Acceso restringido y revisiones de accesos El acceso solo se concede a personas autorizadas, para tareas concretas, con revisiones de accesos periódicas. Controles: Control de acceso, Derechos de acceso privilegiado ### Los 87 controles Controles organizativos 33 Uso aceptable de la información y otros activos asociados Las normas de uso y manejo de la información y los activos de la empresa están definidas y comunicadas a todos. Control de acceso Solo las personas autorizadas acceden a cada información y recurso, con revisiones de accesos periódicas y acceso a la red solo para el personal autorizado. Derechos de acceso El acceso a herramientas e información se concede, ajusta y retira según sea necesario. Seguridad de la información en los acuerdos con proveedores Los acuerdos con proveedores fijan requisitos y responsabilidades de seguridad. Evaluación y decisión sobre los eventos de seguridad de la información Los eventos de seguridad se clasifican por gravedad, se escalan cuando hace falta y se registran para su análisis. Información de autenticación Las contraseñas y otros datos de acceso se gestionan y protegen. Clasificación de la información Los datos se clasifican y se tratan según su importancia y sensibilidad, conforme a una política escrita. Recopilación de evidencias Las evidencias de eventos de seguridad se identifican, recogen y conservan para posibles acciones legales o disciplinarias. Cumplimiento de las políticas, normas y estándares de seguridad de la información Responsables y propietarios de la información revisan el cumplimiento con regularidad, y las no conformidades se registran y resuelven. Contacto con las autoridades Está definido quién contacta con las autoridades, cuándo y cómo se notifican los incidentes a tiempo. Contacto con grupos de interés especial Visor sigue noticias y foros de seguridad sobre amenazas, buenas prácticas y nuevas vulnerabilidades. Preparación de las TIC para la continuidad del negocio Un plan mantiene los sistemas y la información disponibles durante una interrupción, y se prueba con regularidad. Gestión de identidades Las identidades y cuentas de usuario se gestionan durante todo su ciclo de vida, cada una única. Revisión independiente de la seguridad de la información Auditorías internas anuales y revisiones por la dirección a intervalos fijos o tras cambios significativos. Seguridad de la información durante una interrupción Las medidas de seguridad ante interrupciones están documentadas en los planes de continuidad del negocio y de recuperación ante desastres. Seguridad de la información en el uso de servicios en la nube Normas para elegir, gestionar y abandonar servicios en la nube, con funciones definidas. Seguridad de la información en la gestión de proyectos Los proyectos abordan los riesgos de seguridad, incluido el riesgo de proveedores mediante revisiones de cumplimiento. Seguridad de la información en las relaciones con los proveedores Existe una lista de proveedores, y quien trata datos de la empresa debe cumplir normas de seguridad. Gestión de la seguridad de la información en la cadena de suministro de las TIC Los proveedores de productos y servicios TIC reciben requisitos de seguridad, y se supervisa su cumplimiento. Planificación y preparación de la gestión de incidentes de seguridad de la información Funciones, responsabilidades y procedimientos ante incidentes están definidos y al alcance de todo el personal. Funciones y responsabilidades en seguridad de la información Las tareas de seguridad están asignadas, y cada persona conoce sus responsabilidades. Transferencia de información Los datos que se envían dentro o fuera de Visor siguen normas de transferencia segura. Derechos de propiedad intelectual Solo se usa software con licencia, y se cumple la ley de derechos de autor. Etiquetado de la información La información lleva una etiqueta con su nivel de seguridad para tratarla correctamente. Aprendizaje de los incidentes de seguridad de la información Las lecciones de incidentes pasados se aplican a las defensas, los planes de respuesta y la formación. Requisitos legales, estatutarios, reglamentarios y contractuales Los requisitos de seguridad legales, reglamentarios y contractuales, como DPA, NDA y SLA, están identificados y registrados. Seguimiento, revisión y gestión de cambios de los servicios de proveedores Los proveedores se revisan según su riesgo, con una revisión anual de los de riesgo alto. Privacidad y protección de datos personales Los datos personales se protegen conforme a la ley y los contratos, y las aplicaciones que los tratan entran en las revisiones de proveedores y accesos. Protección de los registros Los registros se guardan de forma segura con el mínimo acceso necesario, según procedimientos escritos de control documental. Respuesta a incidentes de seguridad de la información Los incidentes se gestionan con procedimientos definidos, recogida de evidencias y comunicación clara. Devolución de activos Quien deja la empresa devuelve sus activos mediante una lista de comprobación de salida. Segregación de funciones Las tareas están repartidas para que nadie concentre demasiado acceso o poder. Inteligencia de amenazas La información sobre amenazas se recoge y analiza para apoyar las decisiones. Controles tecnológicos 34 Acceso al código fuente El acceso de escritura al código fuente se limita a quien lo necesita. Requisitos de seguridad de las aplicaciones Los requisitos de seguridad, como autenticación y protección de datos, se definen al desarrollar o adquirir aplicaciones. Gestión de la capacidad El uso de recursos se supervisa y se ajusta según sea necesario. Gestión de cambios Los cambios en los sistemas siguen procedimientos definidos, con evaluación de impacto, pruebas y registro. Sincronización del reloj Los relojes de los sistemas se sincronizan con fuentes de hora aprobadas para registrar los eventos con precisión. Gestión de la configuración Hardware, software y redes siguen configuraciones seguras estándar, registradas y supervisadas. Prevención de fugas de datos Hay herramientas que detectan y detienen la difusión o exposición de datos sin autorización. Enmascaramiento de datos Los datos sensibles, como los personales, se enmascaran, seudonimizan o anonimizan para limitar su exposición. Restricción del acceso a la información El acceso a la información y a los activos se restringe según las políticas. Copias de seguridad de la información Se hacen copias de seguridad de la información, el software y los sistemas, y se prueban con regularidad, según una política de copias de seguridad. Eliminación de la información La información que ya no se necesita se elimina con métodos aprobados, y cada eliminación queda registrada. Instalación de software en sistemas en producción Solo administradores formados y autorizados instalan software en los sistemas en producción. Registro de eventos La actividad de los sistemas y los eventos de seguridad se registran, y los registros se protegen contra cambios y se analizan en busca de actividad anómala. Gestión de las vulnerabilidades técnicas Las vulnerabilidades técnicas se identifican, evalúan, corrigen y documentan. Actividades de seguimiento Redes, sistemas y aplicaciones se supervisan en busca de actividad anómala, con alertas. Seguridad de redes Las redes y conexiones se protegen con cortafuegos, supervisión y autenticación. Desarrollo externalizado El desarrollo externalizado tiene requisitos de seguridad definidos y se supervisa. Derechos de acceso privilegiado El acceso privilegiado solo se concede a usuarios autorizados, para tareas concretas, y se revisa con regularidad. Protección contra el malware Detección de malware, formación y control de acceso protegen los sistemas. Protección de los sistemas de información durante las pruebas de auditoría Las pruebas de auditoría se acuerdan con la dirección, con acceso limitado y supervisión. Redundancia de las instalaciones de procesamiento de la información Sistemas redundantes mantienen el procesamiento en marcha si falla un componente. Autenticación segura Métodos de autenticación segura confirman la identidad de los usuarios, con autenticación multifactor. Codificación segura Se aplican principios de codificación segura, como no incluir contraseñas en el código, usar cifrado y mantener las bibliotecas actualizadas. Ciclo de vida de desarrollo seguro La seguridad forma parte del diseño, las normas de codificación, las pruebas y la formación de los desarrolladores. Principios de arquitectura e ingeniería de sistemas seguros Los sistemas se diseñan según principios escritos de ingeniería segura. Seguridad de los servicios de red Los servicios de red tienen medidas de seguridad, normas de uso y supervisión de los proveedores. Pruebas de seguridad en el desarrollo y la aceptación Aplicaciones y código pasan pruebas de seguridad durante el desarrollo, incluidas pruebas de penetración. Segregación de redes La red está dividida en zonas con sus propias reglas de acceso y cortafuegos. Separación de los entornos de desarrollo, prueba y producción Desarrollo, prueba y producción están separados, y no se hacen pruebas en producción. Información de prueba Los cambios en los sistemas se evalúan, se prueban, incluidas pruebas de seguridad, y se registran. Uso de la criptografía Normas de uso de la criptografía, incluida la gestión de claves. El cifrado se contempla para los datos en reposo y en tránsito. Uso de programas de utilidad con privilegios Solo usuarios de confianza usan programas de utilidad capaces de anular controles, y cada uso queda registrado. Dispositivos finales de usuario La información en los dispositivos de los usuarios se protege con políticas, control de acceso, cifrado y formación, incluidos los dispositivos personales. Filtrado web Los sitios peligrosos se bloquean por IP y dominio, y el equipo aprende a navegar con seguridad. Controles físicos 14 Seguridad del cableado Los cables de energía y datos están protegidos contra interferencias y daños. Puesto de trabajo despejado y pantalla limpia Las normas de mesa despejada y bloqueo de pantalla protegen la información que queda sin vigilancia. Mantenimiento de los equipos Los equipos se mantienen según las indicaciones del proveedor, y las averías se registran. Emplazamiento y protección de los equipos Los equipos se colocan y protegen contra accesos no autorizados y daños. Entrada física Solo las personas aprobadas entran en las áreas sensibles. Supervisión de la seguridad física Las instalaciones tienen vigilancia continua y alarmas. Perímetros de seguridad física Paredes, puertas y ventanas de las áreas sensibles están protegidas y vigiladas. Protección contra las amenazas físicas y ambientales Hay medidas contra desastres naturales y otras amenazas físicas. Eliminación o reutilización segura de los equipos Los datos se borran de los equipos antes de eliminarlos o reutilizarlos. Seguridad de oficinas, despachos e instalaciones Los espacios que tratan información confidencial están protegidos y son discretos. Seguridad de los activos fuera de las instalaciones Portátiles y móviles usados fuera de la oficina están protegidos contra daños y accesos no autorizados. Soportes de almacenamiento Los soportes de almacenamiento se cifran y se eliminan de forma segura, según normas claras. Servicios de suministro Las operaciones están protegidas contra cortes de energía y fallos de otros suministros. Trabajo en áreas seguras El trabajo en áreas seguras se supervisa, con control de acceso y límites a los dispositivos personales. Controles de personas 6 Acuerdos de confidencialidad o no divulgación El personal y las partes pertinentes firman acuerdos de confidencialidad, que se revisan con regularidad. Notificación de eventos de seguridad de la información El personal tiene una forma rápida y sencilla de notificar posibles problemas de seguridad. Trabajo en remoto Normas y medidas de seguridad cubren el trabajo con información fuera de la oficina. Responsabilidades tras el cese o cambio de empleo Las obligaciones de seguridad continúan cuando alguien deja la empresa o cambia de función, y esa persona lo sabe. Investigación de antecedentes Comprobación de antecedentes de candidatos y empleados, dentro de las normas legales y éticas. Términos y condiciones del empleo Los contratos de trabajo fijan las responsabilidades de seguridad de ambas partes. ## Pide nuestros documentos de seguridad Estos documentos están disponibles bajo petición en nuestro centro de confianza, alojado en Secfix. Certificaciones - ISO/IEC 27001:2022 Certificate Disponible bajo petición Políticas - POL-00 ISMS List of documents Disponible bajo petición - POL-01 Scope of the ISMS Disponible bajo petición - POL-02 Information Security Management System Disponible bajo petición - POL-04 Information Security & Acceptable Use Disponible bajo petición [Pide los documentos en el centro de confianza](https://app.secfix.com/trust/visor/a8d96edab05a4c549f006847c5ac73e3) Abre el centro de confianza en una pestaña nueva. ## Dónde están los datos y quién los trata Diez subencargados tratan datos para Visor. Todos están en la UE. Proveedor Finalidad Datos tratados Región ![Google Workspace](https://www.visor.ai/assets/vendors/sourced-google-workspace.svg) Correo de empresa, almacenamiento de documentos, colaboración y calendarios Direcciones de correo, nombres, datos de contacto, documentos y archivos compartidos, registros **UE** ![AWS](https://www.visor.ai/_astro/sourced-aws.cCmIak93_ZG4JOt.webp) Infraestructura en la nube, alojamiento y bases de datos que hacen funcionar la plataforma y guardan los datos Datos de clientes, incluidos datos personales, y registros (información del dispositivo) **UE** Azure Servicios en la nube; proveedor de modelos de lenguaje de gran tamaño Prompts, respuestas generadas y metadatos asociados **UE** Vonage APIs de comunicación y telefonía para voz y mensajería Números de teléfono, nombres de contactos, registros de llamadas y metadatos de mensajes **UE** ![Atlassian](https://www.visor.ai/assets/vendors/sourced-atlassian.svg) Gestión de proyectos, seguimiento de incidencias y tickets de soporte Direcciones de correo, nombres, contenido y metadatos de los tickets de soporte **UE** ![Factorial](https://www.visor.ai/_astro/sourced-factorial.T4rlghN3_2mmbbh.webp) RR. HH. Solo datos de empleados de Visor **UE** ![Google Cloud](https://www.visor.ai/assets/vendors/sourced-google-cloud.svg)Vertex AI Modelos de lenguaje Gemini que usan los agentes de IA para procesar conversaciones Prompts, respuestas generadas y metadatos asociados **UE** Región Vertex AI europe-west8 ![Deepgram](https://www.visor.ai/assets/vendors/sourced-deepgram.svg) Voz a texto en las llamadas que atiende el Voice AI Agent Audio y transcripciones de las llamadas **UE** Endpoint dedicado en la UE ![AssemblyAI](https://www.visor.ai/assets/vendors/sourced-assemblyai.svg) Voz a texto en las llamadas que atiende el Voice AI Agent Audio y transcripciones de las llamadas **UE** Endpoint dedicado en la UE ![ElevenLabs](https://www.visor.ai/assets/vendors/sourced-elevenlabs.svg) Texto a voz Texto que se convierte en voz y el audio generado **UE** Residencia de datos en la UE ## La IA y tus datos Todos los proveedores de IA del circuito de voz y chat funcionan en la UE. Cada uno trata los datos de los clientes según sus propias condiciones. Azure UE Puede tratar prompts, respuestas generadas y metadatos asociados. Microsoft no usa datos de clientes para entrenar ni mejorar modelos. ![Google Cloud](https://www.visor.ai/assets/vendors/sourced-google-cloud.svg)Vertex AI UE, región europe-west8 Google no usa datos de clientes para entrenar ni ajustar modelos sin el permiso del cliente. Las entradas pueden guardarse en memoria durante un periodo limitado para reducir la latencia, y los prompts pueden registrarse para detectar abusos, según las condiciones de Google Cloud. ![Deepgram](https://www.visor.ai/assets/vendors/sourced-deepgram.svg) Endpoint dedicado en la UE Las solicitudes de Visor están excluidas del Model Improvement Program de Deepgram, así que el audio de los clientes no se usa para entrenar los modelos de Deepgram. El audio solo se conserva el tiempo necesario para procesar cada solicitud. ![AssemblyAI](https://www.visor.ai/assets/vendors/sourced-assemblyai.svg) Endpoint dedicado en la UE La cuenta de Visor está excluida del programa de mejora de modelos de AssemblyAI, así que los datos de los clientes no se usan para entrenar sus modelos ni para benchmarking. ![ElevenLabs](https://www.visor.ai/assets/vendors/sourced-elevenlabs.svg) Residencia de datos en la UE Se usa con un acuerdo empresarial con residencia de datos en la UE y Zero Retention Mode, así que el contenido no se conserva en los servidores de ElevenLabs tras el procesamiento y no se usa para entrenar sus modelos. ## Preguntas frecuentes ¿Visor tiene la certificación ISO 27001? Sí. Visor tiene la certificación ISO/IEC 27001:2022. Puedes [pedir el certificado](https://www.visor.ai/es/security/#documents) en nuestro centro de confianza. ¿Visor cumple el RGPD? Visor trata datos personales conforme al RGPD, y sus diez subencargados están en la UE. [La lista completa](https://www.visor.ai/es/security/#subprocessors) muestra lo que trata cada uno. ¿Dónde se alojan los datos de los clientes? En AWS, en la UE. El alojamiento, la infraestructura y las bases de datos de la plataforma funcionan allí. [Consulta todos los subencargados y sus regiones.](https://www.visor.ai/es/security/#subprocessors) ¿Se usan los datos de los clientes para entrenar modelos de IA? Cada proveedor de IA sigue sus propias condiciones. Azure, Deepgram, AssemblyAI y ElevenLabs no los usan para entrenar sus modelos. Vertex AI no entrena ni ajusta modelos con ellos sin permiso. [Lee las condiciones de cada proveedor.](https://www.visor.ai/es/security/#ai) ¿Cómo puedo solicitar el certificado y las políticas? Pídelos en nuestro centro de confianza, alojado en Secfix. [Consulta los cinco documentos.](https://www.visor.ai/es/security/#documents) Para cualquier otra pregunta de seguridad, escribe a [securityoffice@visor.ai](mailto:securityoffice@visor.ai).