00 Centro de cumplimiento

Lo que un comité de seguridad espera antes de firmar.

Esta página existe para que un CISO, un DPO o un responsable de riesgos pueda leerla y, si todo encaja, recomendar a su Consejo firmar el contrato. Sin pedir reunión, sin NDA, sin formularios.

01 Certificaciones vigentes

Auditadas por organismos independientes.

Cada badge enlaza al certificado emitido por el organismo correspondiente. Los documentos se publican en PDF firmado, sin registro ni NDA previa.

Seguridad de la información

ISO/IEC 27001

Sistema de gestión de seguridad de la información

Ver certificado →

ISO/IEC 27017

Controles de seguridad para servicios cloud

Ver certificado →

ISO/IEC 27701

Gestión de la privacidad de información (PIMS)

Ver certificado →

ISO 28000

Seguridad de la cadena de suministro

Disponible bajo NDA

ENS · Categoría Media

Esquema Nacional de Seguridad · sector público

Ver certificado →

DORA

Resiliencia operativa digital · Reg. UE 2022/2554

Ver certificado →

Gestión, calidad y riesgo

ISO 9001

Sistema de gestión de la calidad

Ver certificado →

ISO 14001

Sistema de gestión ambiental

Ver certificado →

ISO/IEC 20000-1

Gestión de servicios de TI

Ver certificado →

ISO 31000

Marco de gestión del riesgo

Marco de referencia aplicado

02 Infraestructura

Datos en suelo europeo, sin transferencias internacionales por defecto.

La plataforma se aloja en regiones europeas con redundancia geográfica (Madrid + Frankfurt como secundario por defecto). El cliente puede optar por hosting exclusivo en España. El acceso administrativo de Extera está restringido por bastión, MFA hardware y revisión trimestral de accesos. El cifrado es AES-256 en reposo y TLS 1.3 en tránsito; las claves se gestionan con KMS UE.

Backups cifrados, retenidos 90 días, restauración trimestralmente probada
Sin transferencias a EE. UU. salvo cláusulas contractuales tipo (SCCs)
Subencargados publicados con país y propósito en el DPA
WAF, anti-DDoS y bastión auditable a nivel de aplicación
Logs operativos retenidos un año, exportables a SIEM del cliente

03 Privacidad y contratación

DPA y cláusulas tipo publicadas, no negociadas en el último día.

Acuerdo de Encargo de Tratamiento

Modelo público y descargable (versión vigente)
Subencargados listados con nombre, país y propósito
SCCs UE para cualquier transferencia internacional
Borrado verificable a fin de contrato (90 días)
Notificación de incidentes en menos de 72 h

Datos de categoría especial

Aptos médicos: solo el dictamen viaja al titular
Reconocimiento médico permanece en el SP propio
Biometría: plantilla cifrada en lector, original no sale
Evaluación de impacto art. 35 entregada antes de firma
DPO designado y contactable: dpo@extera.es

04 Plan de salida

Si decide irse, el día uno es tan importante como la firma.

La portabilidad no se discute en el momento de la baja. Está contractualmente comprometida desde la firma. El titular recibe, en un plazo máximo de 90 días desde la solicitud:

Expediente completo de cada contrata en PDF/A
Metadata estructurada en JSON (esquema documentado)
Logs de auditoría en CSV firmado
Inventario de subencargados con fecha de borrado certificada
Confirmación notarial de borrado al cierre del periodo

05 Divulgación responsable

Si encuentra una vulnerabilidad, sabemos cómo recibirla.

Extera publica un canal de divulgación responsable bajo un programa formal. Sin represalias legales, plazos publicados, reconocimiento opcional para el reportador. Encuentra los detalles en security.txt y en la política pública.

security@extera.es

Canal cifrado · clave PGP publicada

90 días

Ventana de divulgación coordinada por defecto

Sin litigio

Compromiso safe harbor para investigadores de buena fe

06 Registro de incidentes

Lo que ha pasado y cómo se cerró.

El registro público de incidentes operativos relevantes (degradaciones, indisponibilidades por encima del SLA, eventos de seguridad) se publica con cronología, causa raíz y mitigación. Sin eufemismos.

2026-Q1

Sin incidentes reportables

Disponibilidad observada 99,98 %.

Plataforma

cerrado

2025-Q4

Sin incidentes reportables

Disponibilidad observada 99,95 %.

Plataforma

cerrado

2025-Q3

Degradación 47 minutos · región Frankfurt

Failover ejecutado a Madrid sin pérdida de datos.

Plataforma · UE

cerrado · post-mortem público

07 Documentación bajo NDA

El dossier completo, en una tarde.

Pentest ejecutivo, certificaciones en PDF firmado, BCP/DRP completo y matriz de control SOC 2 se envían en menos de 24 h tras NDA. Sin proceso comercial, sin discovery call previa.

Pedir dossier bajo NDA Solicitar demo