ToolsGroup pone al cliente en primer lugar, y eso implica proteger sus datos con un programa de seguridad integral y multicapa en ToolsGroup Cloud

Nuestra arquitectura cloud ofrece de forma nativa alta disponibilidad para los componentes críticos, y lo respaldamos con un acuerdo de nivel de servicio (SLA) con garantía económica. ToolsGroup cuenta con un plan de recuperación ante desastres documentado que se prueba con regularidad. Si se produce una caída grave en el entorno principal, podemos conmutar a la región secundaria para restablecer el servicio rápidamente.

Para proteger la disponibilidad, ToolsGroup aplica redundancia en varios niveles. Todos los datos almacenados en nuestra solución se guardan en copias redundantes dentro de la región de alojamiento principal y, además, se replican de forma asíncrona en una región secundaria geográficamente separada. Gracias a esta georredundancia, aunque una región completa de centros de datos sufra una caída, sigue disponible una copia actualizada de tus datos en la región de respaldo, lo que minimiza el riesgo de pérdida. La región secundaria se elige con cuidado para formar un par adecuado con la principal, equilibrando la distancia y los requisitos normativos.

Propiedad de los datos del cliente

En ToolsGroup reconocemos que tus datos son tuyos. El cliente es el propietario exclusivo de todos los datos que introduce en nuestra solución. Actuamos como custodios de esos datos y solo los tratamos y almacenamos para cumplir nuestras obligaciones de servicio.

/ Datos en reposo

Todos los datos almacenados en la solución se cifran con AES-256, con claves controladas por ToolsGroup e independientes para cada cliente.

/ Datos en tránsito

Todos los datos en tránsito se protegen con TLS 1.2 o superior, con conjuntos de cifrado modernos y longitudes de clave robustas.

Aislamiento de datos

El entorno de cada cliente está totalmente segregado a nivel de aplicación y de base de datos. Tus datos se almacenan en su propia base de datos o esquema dedicado y nunca se mezclan con los de nadie más.

Cifrado completo, en todas partes

ToolsGroup aplica un cifrado robusto para proteger los datos del cliente en todos sus estados: en tránsito, en reposo y en las copias de seguridad. Todos los datos que se envían a la aplicación o desde ella (por ejemplo, el tráfico entre tu navegador y nuestra nube) se cifran en tránsito mediante TLS (Transport Layer Security).

Escalabilidad y rendimiento

La solución cloud de ToolsGroup está diseñada para escalar según las necesidades del cliente sin comprometer la seguridad. Ofrecemos niveles de despliegue estandarizados (Small, Medium, Large) que cubren los perfiles de carga más habituales, y podemos ampliar recursos bajo demanda si tu uso crece. Este escalado flexible mantiene un rendimiento y una capacidad de respuesta óptimos a medida que aumentan el volumen de datos o el número de usuarios, con un entorno seguro y estable.

Autenticación federada e inicio de sesión único (SSO)

Para ofrecer un acceso seguro y cómodo, ToolsGroup admite autenticación federada e integración de inicio de sesión único (SSO) con tus sistemas de identidad. El SSO federado permite a tus usuarios acceder a la aplicación de ToolsGroup con sus credenciales corporativas, gestionadas por el proveedor de identidad (IdP) que elijas, como Azure Active Directory, Okta, PingIdentity u otros.

El SSO refuerza la seguridad. Puedes aplicar a ToolsGroup políticas de acceso uniformes desde tu IdP, como exigir MFA o tiempos de expiración de sesión. Además, reduce el riesgo de contraseñas débiles o reutilizadas, ya que los usuarios no crean credenciales nuevas para cada software. El soporte de SSO federado en ToolsGroup ofrece una integración de gestión de identidades de nivel empresarial que simplifica la autenticación sin perder el control ni la visibilidad.

Monitorización de seguridad y registros de auditoría

ToolsGroup mantiene un registro centralizado y una monitorización en tiempo real para detectar rápidamente actividad sospechosa o anómala en su entorno cloud. Todos los eventos clave, como intentos de autenticación, accesos de usuarios y cambios administrativos, se recogen en un sistema de gestión de información y eventos de seguridad (SIEM) que analiza patrones y alerta al equipo de seguridad ante incidencias como inicios de sesión fallidos repetidos, accesos en horarios inusuales o cambios repentinos de rol.

Los registros de auditoría se guardan en un repositorio a prueba de manipulaciones durante al menos 180 días para facilitar investigaciones y el cumplimiento normativo, y los clientes pueden solicitar los registros pertinentes. Además de los eventos de seguridad, un sistema de monitorización integrado supervisa el estado del sistema (computación, almacenamiento, red y rendimiento de la aplicación) y alerta al equipo de operaciones ante problemas como picos de CPU, fugas de memoria o tiempos de respuesta lentos, lo que permite una respuesta rápida y proactiva 24/7.

Gestión de cambios

ToolsGroup aplica procedimientos estructurados para gestionar los cambios en los sistemas que soportan la solución. Todos los cambios se solicitan y documentan en nuestro portal de tickets, se evalúan en cuanto a riesgo e impacto (incluida la seguridad), los aprueba personal autorizado y se programan en ventanas de mantenimiento, con aviso previo en las actualizaciones importantes. Tras su despliegue, los cambios se prueban y se monitorizan.

ToolsGroup aplica un programa continuo de gestión de vulnerabilidades para identificar, evaluar y corregir debilidades de seguridad en los sistemas que soportan la solución. Los sistemas expuestos externamente se analizan antes de su puesta en marcha y de forma continua en producción, con herramientas estándar del sector para redes y aplicaciones.

Además, terceros independientes especializados prueban la aplicación SaaS. Estas pruebas de penetración cubren la red externa y la aplicación web, y se realizan con regularidad y tras cambios significativos. Clientes y potenciales clientes pueden consultar un resumen de la prueba más reciente bajo NDA.

Los hallazgos se priorizan por gravedad y se corrigen mediante nuestro proceso de gestión de cambios:

• Las vulnerabilidades críticas se resuelven con actualizaciones de emergencia fuera del calendario habitual.
• Las vulnerabilidades de gravedad alta se adelantan al calendario habitual.
• Las vulnerabilidades de gravedad media y baja se corrigen en las ventanas de mantenimiento habituales.

Las actualizaciones de seguridad se prueban en entornos no productivos antes de desplegarse por fases en producción. También revisamos los protocolos criptográficos y conjuntos de cifrado en uso y sustituimos los que ya no cumplen las directrices de seguridad vigentes.

La seguridad forma parte de cómo diseñamos, desarrollamos y publicamos nuestro software. ToolsGroup desarrolla sus soluciones bajo un ciclo de vida de desarrollo de software seguro (SSDLC) integrado en nuestro sistema de gestión de seguridad de la información certificado según ISO/IEC 27001:2022.

• Revisión de código entre pares: desarrolladores con experiencia revisan cada cambio de código según prácticas de codificación segura antes de integrarlo.
• Pruebas de seguridad automatizadas: el análisis estático de código y el análisis de composición de software se ejecutan en nuestros pipelines de CI/CD, y los controles de seguridad son obligatorios en cada pull request.
• Gestión de dependencias: las librerías y componentes de terceros se revisan periódicamente en busca de vulnerabilidades conocidas y se mantienen actualizados.
• Protección de secretos: las credenciales y claves se mantienen fuera del código fuente y se gestionan en almacenes seguros.
• Separación de entornos: los entornos de desarrollo, pruebas y producción están separados.
• Formación de desarrolladores: los desarrolladores reciben formación continua sobre codificación segura y nuevas amenazas.

Los operadores de ToolsGroup que trabajan en los sistemas que soportan la solución se conectan a los entornos de cliente mediante canales cifrados, con MFA en todas las operaciones sensibles. Los equipos de ToolsGroup usan cifrado de disco completo y no tienen acceso directo a los datos de cliente; la administración se realiza a través de bastion hosts que separan la red corporativa de los entornos de cliente.

ToolsGroup mantiene planes actualizados para gestionar los escenarios más habituales que pueden afectar a la continuidad del negocio. Estos planes se prueban cada año, o con más frecuencia si lo exige un cambio significativo en el proceso afectado, y se auditan anualmente dentro del proceso de certificación ISO 27001 de ToolsGroup.

Para respaldarlo y dotar de resiliencia a la Solución, ToolsGroup garantiza la continuidad del negocio de las siguientes formas:

• Alta disponibilidad de la infraestructura y los componentes subyacentes.
• Recuperación ante desastres en una región secundaria.
• Copias de seguridad frecuentes con múltiples copias redundantes.
• Monitorización completa para detectar anomalías y eventos relacionados con interrupciones y otras incidencias que requieran actuación inmediata. El sistema de monitorización recoge datos de todos los sistemas que componen la Solución y también puede emitir alertas sobre la capacidad del hardware y de la red, así como sobre eventos de seguridad y ataques.

Los datos que componen la Solución se organizan en tres capas:

01 / Capa de virtualización

Los datos de las máquinas virtuales que soportan los componentes de la Solución se cifran en reposo, se replican en múltiples copias locales y tienen redundancia geográfica.

02 / Capa de instancia

Con las funcionalidades nativas de la plataforma cloud, ToolsGroup realiza una copia de seguridad completa de cada nodo de computación o máquina virtual, que se conserva durante 15 días de forma rotativa. Estas copias se almacenan en múltiples ejemplares, con redundancia geográfica y cifrado en reposo.

03 / Capa de datos de la aplicación

Incluye los Datos del Cliente almacenados en la Solución, de los que se hace copia de seguridad diaria que se conserva durante 15 días de forma rotativa.

ToolsGroup mantiene políticas y procedimientos para detectar, gestionar y hacer seguimiento de cualquier incidente o evento de seguridad. El objetivo principal es detectar con rapidez cualquier incidente, real o potencial, para reducir el riesgo de exposición de la información y comunicar sin dilación indebida cualquier brecha a todas las Partes y Autoridades afectadas.

Para respaldar este proceso, ToolsGroup ha implantado:

• Un plan de respuesta a incidentes de seguridad que define con claridad las tareas y actividades necesarias para evaluar, clasificar, mitigar y responder adecuadamente a los incidentes de seguridad.
• La definición de roles y responsabilidades de seguridad dentro de la organización, incluido el rol de Responsable de Seguridad de la Información y un comité de supervisión.
• Procesos orientados a la mejora continua de los aspectos de seguridad en la Organización, que incluyen la revisión periódica de las medidas existentes y de su eficacia.

El cumplimiento normativo es clave para ofrecer garantías a los Clientes y para asegurar y reforzar la confianza entre el Cliente y ToolsGroup. ToolsGroup cumple tanto la normativa local como los estándares internacionales ampliamente reconocidos en el sector.

/ ISO/IEC 27001:2022

ISO/IEC 27001 es un estándar de seguridad que especifica formalmente un Sistema de Gestión de Seguridad de la Información (SGSI) destinado a situar la seguridad de la información bajo un control de gestión explícito. Como especificación formal, establece requisitos que definen cómo implantar, supervisar, mantener y mejorar continuamente el SGSI. También prescribe un conjunto de buenas prácticas que incluyen requisitos de documentación, reparto de responsabilidades, disponibilidad, control de acceso, seguridad, auditoría y medidas correctivas y preventivas.

ToolsGroup mantiene actualmente una certificación ISO/IEC 27001:2022 activa y vigente. El certificado y la Declaración de Aplicabilidad pueden compartirse con clientes potenciales y Clientes para su revisión previa solicitud. El alcance de la certificación es «El Sistema de Gestión de Seguridad de la Información para la prestación de servicios SaaS (Software as a Service) de soluciones de planificación y análisis de negocio».

Dentro de este proceso, ToolsGroup ha desarrollado un Sistema de Gestión de Seguridad de la Información (SGSI) que se distribuye a los empleados y contiene políticas, procedimientos, módulos e instrucciones de uso interno.

RGPD y protección de datos

ToolsGroup B.V. tiene su sede en Ámsterdam y opera conforme al Reglamento General de Protección de Datos (RGPD) de la UE. Cuando nuestras soluciones SaaS tratan datos personales por cuenta de los clientes, ToolsGroup actúa como encargado del tratamiento. Solo tratamos esos datos siguiendo las instrucciones documentadas del cliente y en virtud de un Acuerdo de Tratamiento de Datos.

• Residencia de los datos: el cliente especifica la ubicación geográfica y ToolsGroup despliega la solución en una región que cumpla sus requisitos de residencia de datos.
• Transferencias internacionales: los datos personales solo se transfieren fuera del EEE con las garantías adecuadas, como las Cláusulas Contractuales Tipo de la UE (2021/914) o una decisión de adecuación.
• Subencargados: recurrimos a un número limitado de subencargados, sujetos a obligaciones de protección de datos equivalentes a las nuestras. La lista actual está disponible previa solicitud y los clientes reciben aviso previo de cualquier cambio.
• Seguridad del tratamiento: las medidas técnicas y organizativas descritas en esta página forman parte de nuestro Sistema de Gestión de Seguridad de la Información certificado según ISO/IEC 27001:2022.
• Notificación de brechas: notificamos a los clientes afectados sin dilación indebida tras tener conocimiento de una brecha de datos personales.
• Derechos de los interesados: ayudamos a los clientes a responder a las solicitudes de los interesados, como acceso, rectificación y supresión.

ToolsGroup ha designado un Delegado de Protección de Datos externo. Para saber cómo tratamos los datos personales, consulta nuestra Política de privacidad y nuestro Documento de transparencia, que abarca los artículos 13 y 14 del RGPD y la CCPA/CPRA. Nuestras condiciones estándar de protección de datos se describen en las Condiciones generales de protección de datos.