Construido para operaciones reguladas.
No reclamamos certificaciones propias. Corremos sobre infraestructura certificada por sus proveedores y aplicamos controles verificables encima. Abajo está nuestra postura real, no una promesa de marketing.
Postura de confianza
Infraestructura certificada
Las certificaciones son de nuestros proveedores, no nuestras.
Cloudflare (SOC 2 Tipo II, ISO 27001 e ISO 27701) en el borde; Netcup (ISO 27001 e ISO 27701, centros de datos en Alemania) en cómputo y datos. Nuestra parte son los controles que aplicamos sobre esa base.
Acceso basado en roles (RBAC)
Los permisos siguen el organigrama, no el ticket.
Acotado por empresa, sede, rol y módulo. Un planificador no es un gerente de planta, y el software lo hace cumplir.
Aislamiento por empresa
Cada empresa ve solo sus filas, por construcción.
Row-Level Security (RLS) en PostgreSQL: la identidad del token firmado decide qué filas existen para esa sesión. No es un filtro de aplicación que se pueda olvidar.
Cifrado en tránsito
TLS 1.3 en todas las conexiones.
Certificados gestionados; sin tráfico de producto en claro. En reposo, bajo los controles de cifrado de nuestros proveedores de infraestructura.
Autenticación fuerte (2FA)
Segundo factor disponible y exigible por política.
Identidad centralizada; el acceso a cada software se concede y se revoca de forma explícita, no por login compartido.
Registro de auditoría
Cada cambio de estado es atribuible.
Quién, qué y cuándo — retenido según el calendario de abajo. La trazabilidad es también nuestra evidencia ante cualquier reclamo.
Manejo de datos
Dónde viven los datos
Los datos de producto viven en centros de datos de Netcup en Alemania (UE). El borde —CDN, WAF y protección DDoS— es Cloudflare, con presencia global. No movemos la región de una empresa sin acuerdo escrito.
Modelo de tenencia
Multiempresa con aislamiento por Row-Level Security en PostgreSQL: cada empresa tiene su membresía y sus filas, y ninguna consulta cruza a otra por construcción. La identidad viene de un token firmado, no de un parámetro que el cliente pueda alterar.
Retención por defecto
Registros operativos: retenidos por el plazo del contrato más 90 días, luego purgados bajo solicitud. Logs de auditoría y de aceptación de políticas: 12 meses rodantes, extensible para clientes regulados. Backups: punto-en-el-tiempo del proveedor.
Manejo de PII
Minimizado en la captura — pedimos lo que el flujo necesita, no lo que trae una plantilla de formulario. El PII de técnicos y solicitantes se acota a los registros que tocan, nunca se exporta masivamente por defecto.
Subprocesadores
Proveedores que pueden tocar datos de cliente al operar la plataforma. Esta es la lista real; se actualiza cuando cambia.
| Proveedor | Para qué | Región | Estado DPA |
|---|---|---|---|
| Cloudflare | Borde, CDN, WAF/DDoS, Workers y D1 | Global | SOC 2 Tipo II · ISO 27001/27701 |
| Netcup GmbH | Cómputo, PostgreSQL y almacenamiento | Alemania (UE) | ISO 27001 · ISO 27701 |
| Anthropic (API) | Razonamiento de agentes | EE. UU. | No entrena con datos de cliente |
| Resend | Correo transaccional | EE. UU. | Subprocesador de correo (DPA) |
Respuesta a incidentes
Objetivos internos con una escala de severidad, no una promesa de que nunca habrá un incidente. Notificamos brechas confirmadas a las empresas afectadas sin demora indebida, alineados con el plazo de 72 horas del Decreto Legislativo N.° 144 (Ley de Protección de Datos Personales de El Salvador).
Sev 1 — Crítico
Exposición de datos o caída total en producción.
RTO 4h · RPO 1h
Sev 2 — Alto
Servicio degradado o caída de una sola empresa.
RTO 24h · RPO 4h
Sev 3 — Moderado
Defecto no bloqueante con solución alterna.
RTO 5 días hábiles · n/a
Hablemos de tus requisitos
Los entornos regulados traen su propio checklist de auditoría. Tráelo — te diremos qué cumplimos hoy y qué necesita conversación.
Esta postura refleja controles reales y las certificaciones de nuestros proveedores de infraestructura, no certificaciones propias de Adqueo. Contacto: daniel@adqueo.com
Mira el software. O cuéntanos el ciclo que no cabe.
La suite se ve aquí. Si el ciclo no cabe, conversamos el software a la medida.