Trust center · en producción

Seguridad bancaria. Conformidad europea.

Tratamos datos financieros de pymes y de bancos. La arquitectura está diseñada para pasar un vendor review, una auditoría DORA y un pen test, no una checklist de marketing.

RGPD-compliant

en producción

DORA-ready

en producción

Datos en la UE

en producción

SOC 2 Type II

Q1 2027

Cómo protegemos sus datos

Cuatro pilares, todos en producción, todos auditables.

Cifrado AES-256 en tránsito y en reposo

Todos los datos sensibles, incluidas copias del documento de identidad, facturas, IBAN y credenciales de ERP, se cifran con AES-256-GCM antes de tocar disco. Claves gestionadas por AWS KMS con rotación automática cada 90 días.

  • TLS 1.3 en todas las conexiones · HSTS preload
  • AES-256-GCM at-rest · claves rotativas AWS KMS
  • Hardware security modules (HSM) para claves maestras
HTTPS/TLS 1.3
A+
AES-256-GCM at-rest
active
KMS rotation · cada 90 días
auto
WAF + DDoS · Cloudflare
layer 3-7

Aislamiento a nivel de base de datos

Cada tenant (banco, pyme) tiene sus datos físicamente separados mediante PostgreSQL Row Level Security. No es posible, ni siquiera vía SQL injection, acceder a datos de otro tenant. Todas las queries pasan por RPCs con SECURITY DEFINER.

  • Row Level Security (RLS) en cada tabla · default deny
  • SECURITY DEFINER RPCs · tenant_id derivado internamente
  • Pen test anual · próximo Q3 2026
Banco A · 4.231 pymes
isolated
Banco B · 1.852 pymes
isolated
Cross-tenant query
denied
Audit log entry · evento registrado
SHA-256

Audit log WORM con 7 años de retención

Cada acceso, cada cambio, cada decisión de score se graba en un log inmutable (solo de escritura) con hash SHA-256 encadenado. No es posible borrar, modificar ni reordenar entradas, ni siquiera por Advanta. Conforme a los requisitos del Banco de Portugal para registros contables.

  • SHA-256 chained hashing · cualquier cambio detectado de inmediato
  • S3 Object Lock · inmutabilidad a nivel de storage
  • Exportable al BdP · formato estándar XML auditable
audit_log · últimas 4 entradas
score.computed · NIF ***456
14:23:01
operation.approved · €24.800
14:23:18
contract.signed · QES verified
14:24:02
sepa.disbursed · IBAN PT50…
14:24:31
chain valid · hash 8f2e…b3c4

Soberanía de datos europea

Todos los datos, personales, financieros, KYC, viven en servidores en la UE. Supabase en eu-central-1 (Frankfurt). Sin transferencias fuera de la UE en condiciones normales. Compatible con Schrems II y la regulación posterior al Privacy Shield. Réplica failover en eu-west-1 (Dublín) en Q4 2026.

  • Frankfurt (eu-central-1) · región primaria
  • Backup cifrado · 35 días de retención · Object Lock
  • Failover Dublín · RPO <15 min · roadmap Q4 2026
Frankfurt (DE) primary Dublin (IE) Q4 2026

Soberanía de datos UE · Schrems II safe · nunca sale de la Unión Europea

¿Vendor review? ¿Pen test? ¿Presentación DORA?

Tenemos los documentos listos. Solicite la carpeta de compliance y la recibe en menos de 1 día hábil.