SEGURIDAD, PRIVACIDAD Y disponibilidad
Esta página contiene la documentación técnica y legal que el CISO necesita para aprobar Extera. ISO 27001, SLA, hosting, cifrado, DPA, subencargados, pentest y exit plan.
EVIDENCIA DE cumplimiento
Externalia SL mantiene estas certificaciones activas. Cada badge enlaza al certificado emitido por el organismo correspondiente.
Seguridad de la información
Sistema de gestión de seguridad de la información
Ver certificado →
Controles de seguridad para servicios cloud
Ver certificado →
Gestión de la privacidad de información (PIMS)
Ver certificado →
Seguridad de la cadena de suministro
Certificado disponible bajo NDA
Esquema Nacional de Seguridad (sector público)
Ver certificado →
Resiliencia operativa digital (Reg. UE 2022/2554)
Ver certificado →Gestión, calidad y riesgo
Sistema de gestión de la calidad
Ver certificado →
Sistema de gestión ambiental
Ver certificado →
Gestión de servicios de TI
Ver certificado →
Marco de gestión del riesgo
Marco de referencia aplicadoISO 27001 — SISTEMA DE GESTIÓN DE SEGURIDAD DE LA información
Externalia SL mantiene la certificación ISO/IEC 27001:2022 para el sistema de información de Extera. La certificación cubre los procesos de desarrollo, operaciones y soporte de la plataforma.
Descargar certificado (PDF). Para el informe completo de auditoría y el SOA, contactar con security@extera.es.
SLA 99,9 % — CON penalización AUTOMÁTICA
El SLA de disponibilidad de Extera es del 99,9 % mensual. Si no se cumple, la penalización se aplica automáticamente en la factura del periodo siguiente, sin necesidad de reclamación.
| Nivel de incidencia | Tiempo de resolución |
|---|---|
| P1 — Servicio no disponible | 4 h |
| P2 — Funcionalidad crítica degradada | 8 h laborables |
| P3 — Funcionalidad no crítica afectada | 2 días laborables |
| P4 — Consulta o mejora | 5 días laborables |
HOSTING EN LA UNIÓN europea
Infraestructura
Infraestructura cloud con región: Unión Europea (Fráncfort, Europa central). Los datos en reposo no salen de la UE.
Cifrado en tránsito
TLS 1.3 con HSTS preloaded. No se admiten conexiones con TLS 1.0 ni 1.1. Certificados renovados automáticamente.
Cifrado en reposo
AES-256 para todos los datos almacenados. Las claves de cifrado se gestionan con rotación anual y acceso auditado.
Residencia de datos
Los datos de clientes de la UE residen en región UE (Fráncfort). No hay transferencias a terceros países sin SCCs firmadas.
Pentest anual
Prueba de penetración anual realizada por tercero independiente. El informe ejecutivo está disponible bajo NDA para clientes enterprise.
Monitorización 24/7
Monitorización de disponibilidad y seguridad continua. Alertas automáticas a equipo de guardia. Página de estado en tiempo real.
DPA Y CLÁUSULAS contractuales
Extera actúa como encargado del tratamiento de los datos personales gestionados en la plataforma. El Acuerdo de Tratamiento de Datos (DPA) está disponible para su firma en la contratación.
- DPA conforme al art. 28 RGPD disponible en la contratación
- Cláusulas Contractuales Tipo (SCCs) para transferencias fuera de la UE si aplica
- Registro de actividades de tratamiento (RAT) disponible bajo solicitud
- DPO: contacto disponible en dpo@extera.es
TERCEROS QUE ACCEDEN A datos
| Proveedor | Función | País |
|---|---|---|
| Stripe | Procesamiento de pagos | UE (Irlanda) |
| SendGrid (Twilio) | Envío de email transaccional | UE (Ámsterdam) |
| Sentry | Registro de errores (sin PII) | UE (Fráncfort) |
Lista actualizada a abril 2026. Cambios con preaviso de 30 días.
EXIT PLAN — SIN bloqueo DE DATOS
Si decide no renovar el contrato, tiene derecho a la exportación completa de todos sus datos en formato abierto sin coste adicional.
Formato de exportación
CSV para datos tabulares (contratas, proveedores, documentos, logs). XML para expedientes estructurados. PDF para documentos individuales.
Plazo de exportación
La exportación se completa en un plazo máximo de 30 días desde la solicitud. Disponible durante los 90 días posteriores al fin del contrato.
Sin coste
La exportación de datos al terminar el contrato es gratuita y sin limitación de volumen. No se aplican tarifas de "migración" ni "consultoría".
¿NECESITA EL INFORME DE pentest O EL DPA?
El informe ejecutivo de pentest y el DPA están disponibles bajo NDA para clientes enterprise en proceso de evaluación.