RGPD
- DPA art. 28 firmado con el contrato
- Registro de actividades de tratamiento
- Derecho de acceso del trabajador a su cálculo
- Retención de bitácora configurable (24–84 meses)
- Subencargados listados y notificados
Alojamiento
- Nube en la Unión Europea
- Sin transferencias fuera del EEE
- On-premise en su CPD con el mismo producto
- Entornos dev, QA y producción separados
- Copias cifradas; RPO 1 h, RTO 4 h
Acceso
- SSO SAML 2.0 y OIDC (Entra ID, Okta, Google)
- MFA obligatoria para administradores
- Provisión y baja automática por SCIM
- Permisos por módulo, jerarquía y empresa
- Sesiones con caducidad y bloqueo
Cifrado y datos
- TLS 1.2+ en tránsito
- AES-256 en reposo, claves gestionadas por región
- Seudonimización opcional en entornos no productivos
- Exportación completa en formatos abiertos
- Borrado certificado a los 90 días del fin de contrato
Operación segura
- Bitácora de auditoría exportable (quién, qué, cuándo, desde qué periodo)
- Gestión de vulnerabilidades y parches mensuales
- Pentest anual por tercero
- Plan de continuidad probado cada año
- Divulgación responsable
Certificaciones
- ISO 27001: auditoría prevista T1 2027 en curso
- ENS nivel medio: en preparación en curso
- Manual de seguridad v3.0 disponible bajo NDA
- Cuestionarios SIG y CAIQ cumplimentados
Incentivia IA e IA
Las conversaciones de Incentivia IA se procesan en la UE con proveedores de modelo bajo DPA y con cláusula de no entrenamiento. Incentivia IA hereda los permisos de ICM, no genera cifras, etiqueta calculado frente a proyectado y registra cada consulta en la bitácora.
Antes de liberar el asistente a beneficiarios, se ejecuta una prueba de alcance documentada: cada rol intenta acceder fuera de su jerarquía y el resultado se firma con el cliente.
Preguntas frecuentes
¿Quién es responsable y quién encargado del tratamiento?
Tu empresa es la responsable; Neitek Iberia es encargada, bajo el DPA del artículo 28 RGPD. Los subencargados (alojamiento y proveedor de modelo para Incentivia IA) se listan en el DPA y se notifican con 30 días de antelación.
¿Dónde están mis datos?
En la Unión Europea. No se transfieren fuera del EEE. En on-premise, en su CPD.
¿Cómo respondo a una solicitud de acceso de una persona de mi equipo?
El portal da al trabajador acceso a su propio cálculo, regla y dato. Para solicitudes formales, exportas el expediente completo del beneficiario en un clic.
¿Tenéis ISO 27001 o ENS?
ISO 27001 en proceso de certificación con auditoría prevista para el primer trimestre de 2027; ENS nivel medio en preparación. Publicamos el estado real aquí y en el centro de confianza.
¿Qué pasa si hay un incidente?
Notificación al responsable en menos de 24 horas desde la detección, con alcance e impacto, para que pueda cumplir el plazo de 72 horas ante la AEPD.
Pide el paquete de seguridad
DPA, manual de seguridad, informe de pentest y cuestionario SIG bajo NDA en 48 horas.