Seguridad y confianza

Seguro por defecto. Diseñado para la UE.

RiskNote aloja todos sus datos en Estocolmo, aplica el RGPD y la Ley de IA de la UE desde la primera línea de código, y nunca utiliza su contenido de riesgo para entrenar modelos de IA. Cada sugerencia de la IA es consultiva — usted decide qué entra en el registro.

Política de privacidad Reportar un problema de seguridad

Alojado en la UE en Estocolmo

Todos los datos del servicio permanecen en la infraestructura Elastx en Suecia — certificada ISO 27001, únicamente en el EEE.

RGPD nativo

Base jurídica documentada por finalidad. Exportación de datos, rectificación y eliminación en 30 días directamente en la aplicación.

Sus datos nunca entrenan la IA

Los términos comerciales de Anthropic prohíben el entrenamiento con entradas y salidas de la API. Los datos personales nunca llegan al modelo.

La IA es solo consultiva

Cada sugerencia requiere su aceptación explícita antes de entrar en su registro (RGPD art. 22).

RGPDLey IA UE art. 50RGPD art. 22Proceso ISO 31000Infra ISO 27001 (Elastx)DPF + CCE para transferencias fuera de la UE

Localización de datos y alojamiento

Todos los datos del servicio — cuentas, notas de riesgo, riesgos y registros — se alojan en Estocolmo en la infraestructura Elastx. Elastx cuenta con una certificación ISO 27001 para sus centros de datos y operaciones. RiskNote en sí no está certificado ISO 27001; nos apoyamos en infraestructura certificada y mantenemos nuestra propia postura transparente.

Dónde viven sus datos

La base de datos primaria, el almacenamiento de objetos y los servidores de aplicaciones se encuentran todos dentro del EEE. Ningún dato de la UE se transfiere fuera de la región, excepto a los subencargados específicos listados en la sección 06, cada uno bajo garantías conformes al RGPD (DPF y/o CCE).

Copias de seguridad

Las copias de seguridad nocturnas cifradas se conservan durante 30 días y se almacenan en la infraestructura Elastx en la misma región de la UE. Los procedimientos de restauración se prueban periódicamente.

Subencargados transparentes

Cualquier cambio en nuestra lista de subencargados se refleja en la política de privacidad. Un registro de cambios dedicado con notificaciones por correo electrónico está en la hoja de ruta (véase sección 11).

Cifrado y transporte

En tránsito

Se impone TLS 1.2+ para cada conexión. HTTP se redirige a HTTPS. HSTS está habilitado en el borde.

En reposo

Los volúmenes de base de datos y el almacenamiento de objetos están cifrados en reposo en la infraestructura Elastx. Las contraseñas se hashean con bcrypt.

Gestión de secretos

Las claves de API y credenciales residen en variables de entorno, nunca en control de fuente, y se excluyen de los registros de la aplicación. El acceso está limitado al entorno de producción.

Aislamiento de inquilinos

RiskNote es un SaaS multiinquilino con aislamiento lógico. No hay visibilidad entre cuentas.

Delimitado en la capa ORM: Cada consulta contra recursos propiedad del usuario se filtra por el ID del usuario autenticado directamente en el constructor de consultas.

Acceso controlado por política: Las políticas de autorización de Laravel protegen cada recurso sensible — los controladores no pueden devolver datos de otro usuario incluso si se manipula un parámetro de ruta.

Solo compartición explícita: Las notas de riesgo son privadas por defecto. Las notas compartidas (planes Pro y Business) requieren una invitación explícita; el acceso es revocable en cualquier momento.

Autenticación

Correo + contraseña

Mínimo 8 caracteres, mayúsculas y minúsculas con un dígito. Almacenadas como hashes bcrypt. Los enlaces de restablecimiento de contraseña expiran después de 60 minutos.

OAuth 2.0

Inicie sesión con Google, Microsoft o Apple. Recibimos su nombre, correo electrónico e ID de usuario del proveedor. No almacenamos tokens de acceso OAuth.

Sesiones

Las cookies de sesión son estrictamente necesarias y, por tanto, exentas de consentimiento según el art. 5(3) de la ePrivacy / LEK sueco, capítulo 6, sección 18.

Por qué no enlaces mágicos

Evaluamos y rechazamos la autenticación por enlaces mágicos. Para compradores empresariales y municipales, el riesgo de entregabilidad a través de filtros de correo agresivos superaba el beneficio de UX.

IA por diseño

La IA es la parte más sensible a la privacidad de cualquier SaaS moderno. Construimos el recorrido de IA de RiskNote asumiendo que cada decisión sería auditada.

Minimización de datos: Solo se envían a Anthropic el nombre de la nota de riesgo, la descripción, las áreas de riesgo seleccionadas y el contexto de su organización (sector, tamaño, rol, objetivos, desafíos). Nunca enviamos correo electrónico, nombre, dirección IP, datos de facturación, tokens ni datos de otros usuarios.

Sin entrenamiento con sus datos: El procesamiento se realiza a través de la API Claude de Anthropic bajo sus términos comerciales, que prohíben el uso de entradas o salidas del cliente para entrenar o mejorar modelos.

Solo consultiva (RGPD art. 22): La IA produce sugerencias con evaluación de probabilidad y consecuencia. Cada sugerencia requiere su aceptación explícita antes de entrar en el registro. No se toman decisiones con efectos jurídicos o similares significativos de forma automatizada.

Etiquetado de origen de IA (Ley IA UE art. 50): Cada superficie de usuario que muestra contenido generado por IA lo marca como tal — en la interfaz de la aplicación, en la columna Fuente y la divulgación en el pie de página del export PDF, y en el próximo export CSV (V1.1). El identificador del modelo de IA se conserva y se muestra en las exportaciones.

Endurecimiento contra inyección de prompts: Los campos proporcionados por el usuario se truncan antes de concatenarse en los prompts, limitando la superficie para intentos de inyección de prompts mediante entradas sobredimensionadas.

Limitación de tasa: Los análisis de IA están limitados a 20 por hora por usuario, más una asignación mensual por plan, para prevenir abusos y gestionar la previsibilidad de costos.

Subencargados y transferencias internacionales

La lista canónica se encuentra en la política de privacidad, sección 5.

Encargado	Propósito	Ubicación	Garantía
Elastx	Alojamiento backend y frontend	Estocolmo, SE	EEE
Anthropic	Análisis de riesgo con IA	EE.UU.	DPF + CCE
Stripe	Pagos web	EE.UU. / UE	DPF + CCE
RevenueCat	Suscripciones móviles	EE.UU.	CCE

Se pueden solicitar copias de las cláusulas contractuales tipo (CCE) a privacy@risknote.io.

Retención y eliminación

●

Cuenta activa: Los datos se conservan mientras su cuenta esté activa.

●

Eliminación: La eliminación de la cuenta es autoservicio desde la página de la cuenta. Todos los datos personales y contenido de evaluación de riesgo se eliminan permanentemente en un plazo de 30 días.

●

Registros contables: Conservados hasta 7 años de acuerdo con la Ley de Contabilidad Sueca (Bokföringslagen, SFS 1999:1078).

●

Retroalimentación anónima: La retroalimentación opcional proporcionada al eliminar la cuenta se anonimiza y no se vincula a su identidad.

Sus derechos y portabilidad

Bajo el RGPD tiene los siguientes derechos. La declaración completa está en la política de privacidad, sección 7.

AccesoSolicite una copia de sus datos personales (art. 15).

RectificaciónCorrija datos inexactos desde la configuración de la cuenta o por correo (art. 16).

SupresiónElimine su cuenta y todos los datos en la aplicación, en cualquier momento (art. 17).

PortabilidadExporte evaluaciones como PDF o CSV; JSON estructurado disponible bajo solicitud (art. 20).

LimitaciónSolicite que limitemos el tratamiento de sus datos (art. 18).

OposiciónOponerse al tratamiento basado en interés legítimo, incluido el análisis de IA (art. 21).

Retirar consentimientoCuando el tratamiento se basa en consentimiento, retírelo en cualquier momento (art. 7(3)).

ReclamaciónPresente una reclamación ante la autoridad sueca de protección de datos (IMY, imy.se).

Gestión de incidentes y divulgación de vulnerabilidades

Reportar una vulnerabilidad

Envíe un correo a privacy@risknote.io con los pasos de reproducción. No operamos un buzón security@ separado en esta etapa — los reportes son monitoreados directamente por el fundador. Por favor evite acciones que puedan afectar los datos de otros usuarios durante las pruebas.

Acuse de recibo

Nuestro objetivo es acusar recibo de reportes válidos en 3 días hábiles. Le mantendremos informado mientras analizamos y remediamos.

Notificación de brechas

Bajo el RGPD art. 33, notificamos a la autoridad supervisora sueca (IMY) dentro de las 72 horas de conocer una brecha de datos personales cuando se requiera. Bajo el art. 34, notificamos a los usuarios afectados sin demora indebida cuando la brecha pueda resultar en un alto riesgo para sus derechos y libertades.

Bug bounty

Aún no operamos un programa de recompensas público. Agradecemos la divulgación responsable y reconoceremos a los reportadores que prefieran ser mencionados.

Cumplimiento y base jurídica

Una visión clara de lo que RiskNote cumple, a qué se alinea y en qué se apoya — distinguido honestamente.

Marco	Tipo	Cómo se aplica a RiskNote
RGPD	Regulación que cumplimos	Responsable del tratamiento de todos los datos del servicio. Consulte la política de privacidad para la declaración completa.
ePrivacy / LEK 6:18	Regulación que cumplimos	La implementación sueca rige el consentimiento de cookies. Las cookies analíticas son opt-in.
Ley IA UE art. 50	Regulación que cumplimos	El contenido generado por IA se etiqueta en la interfaz, PDF y CSV (V1.1).
RGPD art. 22	Regulación que cumplimos	Sin decisiones automatizadas; cada sugerencia de IA requiere aceptación del usuario.
Ley de consumo sueca	Regulación que cumplimos	Derecho de desistimiento de 14 días gestionado en la aplicación con reembolso automático de Stripe.
ISO 31000	Estándar al que nos alineamos	Identificar → analizar → evaluar → tratar → monitorear. No certificado (no existe certificación ISO 31000).
ISO 27001	Certificación en la que nos apoyamos	Mantenida por nuestro proveedor de alojamiento Elastx, no por RiskNote en sí.

En nuestra hoja de ruta

Mirada honesta al futuro. Ninguno de estos está activo hoy.

○

Prueba de penetración por terceros — planificada tras el lanzamiento, una vez estabilizado el entorno alojado.

○

Registro de cambios de subencargados — una página pública que lista los cambios en nuestra lista de subencargados, con notificaciones por correo electrónico para suscriptores.

○

Export CSV con columna de origen de IA — se entrega con V1.1.

○

SSO nivel Business (SAML / OIDC) — vinculado al lanzamiento del plan Business, no V1.

○

SOC 2 Type II — consideraremos esto cuando la demanda empresarial justifique el costo y la huella operativa. No lo reclamaremos antes de que sea real.

Contacto

Seguridad y privacidad: privacy@risknote.io

Soporte general: support@risknote.io

VER&IT AB · Nygatan 71, 462 32 Vänersborg, Suecia · N.º org.: 556985-1206