¿Es HEFLO un software BPM seguro?

HEFLO aloja los datos en Amazon Web Services en centros de datos regionales. Sus datos de proceso (los modelos, formularios, documentos y adjuntos con los que trabajan sus equipos, más la base de datos que los almacena) se conservan en su región: AWS Irlanda (eu-west-1) para la Unión Europea y São Paulo para América Latina. El aislamiento va más allá de la base de datos. Los servicios de aplicación, datos e informes se despliegan de forma independiente en cada región, de modo que la ejecución de los procesos se produce donde residen los datos y no se enruta a un punto central. Las copias de seguridad siguen la misma regla: los puntos de recuperación de la UE se copian a Fráncfort y permanecen dentro de la UE. Un conjunto definido de servicios de apoyo (cuenta e inicio de sesión, envío de correos, indexación de búsqueda, funciones de IA y telemetría) se ejecuta desde otras regiones de AWS, por lo que una cantidad limitada de datos se procesa fuera de su región, bajo cláusulas contractuales tipo. La pregunta sobre transferencias, más abajo, ofrece el panorama completo.

HEFLO protege los datos en tres niveles. Dentro de la región, la capa de base de datos se replica en tres zonas de disponibilidad distintas, de modo que perder una zona no supone perder el servicio ni sus datos. Aurora realiza copias de seguridad diarias con recuperación a un punto en el tiempo en una ventana de 35 días, lo que permite restaurar la base de datos a un momento concreto y no solo a la última instantánea. Además, AWS Backup copia a diario los puntos de recuperación a una segunda región, en una bóveda bloqueada que los protege frente a eliminaciones accidentales o malintencionadas. En el caso de los clientes europeos, esas copias van de Irlanda a Fráncfort, de manera que las copias de seguridad no salen nunca de la UE: sus datos de proceso y sus copias de seguridad se rigen por la misma regla regional, un punto en el que muchas plataformas en la nube incumplen discretamente su propia promesa. Actualmente se está implantando un plan de continuidad del negocio basado en esta arquitectura de copias de seguridad; los clientes que necesiten objetivos formales de recuperación pueden consultar su estado actual con el equipo de seguridad.

Sí, todo cliente puede. Además de las copias de seguridad del propio HEFLO, puede habilitar un flujo continuo de datos que consolida sus datos de Aurora y DynamoDB en una base de datos relacional (MySQL) dedicada a su entorno. Úsela para crear su propio BI e informes, consérvela como una copia de seguridad independiente o pida que HEFLO envíe un export diario directamente a su propio bucket de Amazon S3, usando su propia clave de API: una copia MySQL completa y lista para importar de sus datos de proceso llega, cada día, a una infraestructura que usted controla. La réplica está cifrada y no es accesible públicamente y, en el caso de los clientes europeos, permanece en la UE, conforme a la residencia de datos. Es la respuesta directa a la dependencia del proveedor: sus datos nunca quedan atrapados dentro de HEFLO.

Las pruebas de seguridad de aplicaciones estáticas y dinámicas (SAST/DAST) se ejecutan dentro del pipeline de CI/CD, de modo que el código se revisa en busca de vulnerabilidades antes de pasar a producción. En producción, Amazon Inspector analiza de forma continua la capa de cómputo de HEFLO (servidores, contenedores y funciones serverless) en busca de vulnerabilidades conocidas, un firewall de aplicaciones web filtra el tráfico en el borde y toda la actividad administrativa queda registrada en AWS CloudTrail.

Sí. HEFLO encarga pruebas de intrusión realizadas por una empresa de seguridad independiente, contratada para vulnerar el sistema, y no el propio equipo de HEFLO. Es una prueba adversarial, realizada por personas que no tienen ningún incentivo en considerar la plataforma segura, y es lo que separa una postura de seguridad real de una autoevaluación. Hay un resumen de la prueba más reciente disponible para clientes y prospectos bajo NDA, para que su equipo de seguridad lea los hallazgos por su cuenta.

Sí. HEFLO respalda el cumplimiento del RGPD mediante la residencia de datos en la UE, un Acuerdo de Tratamiento de Datos (DPA) conforme al artículo 28, cláusulas contractuales tipo para cualquier transferencia, un Delegado de Protección de Datos designado (dpo@corp.heflo.com), un registro de actividades de tratamiento y el soporte del derecho de supresión. Estos mecanismos permiten que sus equipos jurídicos y su DPO documenten cómo se tratan y protegen los datos personales.

Sí, para un conjunto definido y limitado de servicios de apoyo, y cada una está documentada. Sus datos de proceso (modelos, formularios, documentos, adjuntos, la base de datos y sus copias de seguridad) permanecen en su región. Lo que se procesa en otra región es: los datos de cuenta e inicio de sesión, replicados entre regiones para que sus usuarios puedan acceder desde cualquier lugar y para que el servicio sobreviva a la pérdida de una región; el envío de correos electrónicos; la indexación de búsqueda; las funciones opcionales de IA, que reciben documentación de procesos y configuraciones de automatización, y ningún dato personal; y la telemetría operativa, como registros, métricas y trazas, conservados durante un periodo corto. Todas estas transferencias están cubiertas por el Acuerdo de Tratamiento de Datos y las cláusulas contractuales tipo de HEFLO, y figuran en el registro de actividades de tratamiento, que su DPO puede solicitar. Si su organización exige un procesamiento estricto en una sola región, HEFLO ofrece despliegue en nube privada y on-premises.

HEFLO se apoya en un conjunto reducido y documentado de subencargados: AWS para el alojamiento, Crisp para la mensajería con clientes, Google para servicios de apoyo y OpenAI para funciones opcionales de IA. Cada subencargado está cubierto por el Acuerdo de Tratamiento de Datos de HEFLO, y se notifica a los clientes antes de cualquier cambio en la lista para que evalúen su impacto.

HEFLO está preparando su SGSI en alineación con la norma ISO/IEC 27001. El sistema de gestión ya rige el cifrado, el control de acceso, el alojamiento, la resiliencia y la respuesta ante incidentes utilizando el marco ISO/IEC 27001 como modelo de referencia. HEFLO no reivindica una certificación formal en este momento, y esta página se actualizará si dicho estado cambia.

No. HEFLO no utiliza los datos de los clientes para entrenar modelos de IA. Las funciones de IA aplican la minimización de datos, son opcionales y se pueden desactivar. Así, los equipos pueden adoptar las capacidades de IA de HEFLO sin exponer sus datos de procesos al entrenamiento de modelos.

Sí. HEFLO admite la integración con SSO y SIEM mediante webhooks, la exportación de registros en CSV, la lista de permitidos de direcciones IP y las copias de seguridad propiedad del cliente, escritas en su propio bucket de S3. Para las organizaciones con requisitos más estrictos, HEFLO ofrece opciones de despliegue en nube privada y on-premises. Los equipos de compras y de riesgo de proveedores pueden solicitar el paquete de seguridad completo para completar su evaluación.