Confianza #
Todo lo que un revisor de compras, un delegado de protección de datos o un equipo jurídico necesita para evaluar EthicsPortal.
Última actualización: 2026-10-18.
Parte contratante #
- Nombre del servicio: EthicsPortal (nombre comercial)
- Operador: Yaroslav Shmarov, empresario individual (jednoosobowa działalność gospodarcza) registrado en Polonia
- Domicilio registrado: ul. Obrzeżna 1A, 02-691 Varsovia, Polonia
- Número de identificación fiscal (NIP): 5272755790
- Firmante autorizado para acuerdos comerciales, DPA y cuestionarios de seguridad: Yaroslav Shmarov
- Contacto comercial: support@ethicsportal.eu
- Contacto de seguridad: security@ethicsportal.eu
- Contacto de privacidad y protección de datos: privacy@ethicsportal.eu
Las pruebas registrales y los documentos de contratación firmados se facilitan a petición durante el proceso de compras.
Residencia de los datos y relación de encargo del tratamiento #
En el modelo de suscripción estándar, el cliente es el responsable del tratamiento y EthicsPortal actúa como encargado del tratamiento de los datos de las comunicaciones del cliente.
Los datos centrales de las comunicaciones, incluidos la aplicación, la base de datos y el almacenamiento de archivos, se alojan en Núremberg, Alemania, en Hetzner, con una copia de seguridad de los archivos adjuntos en Falkenstein, Alemania. El correo transaccional se gestiona mediante Mailjet (Francia). Los proveedores usados para cuentas, pagos y el sitio web público se describen en el Aviso de privacidad y quedan fuera de la cadena de tratamiento por instrucciones del cliente cubierta por el DPA. El canal de denuncias y el portal de gestores no cargan Cloudflare.
Continuidad y personal #
Exportación de datos del cliente y continuidad. Mientras el Servicio esté accesible, los administradores de la organización pueden exportar expedientes individuales en PDF, y el conjunto completo de datos de la organización como archivo ZIP legible por máquina, sin intervención del operador. El contrato de encargado del tratamiento y el plan de continuidad de negocio establecen los derechos aplicables, las dependencias operativas, los desencadenantes de activación, RPO de 24 horas / RTO de 4 horas y las limitaciones actuales ante la incapacidad del operador.
Copias de seguridad. Volcados diarios de PostgreSQL a Hetzner Object Storage (UE, conservación máxima de 28 días), instantáneas a nivel de servidor de Hetzner (conservación de 7 días) y una copia de cada archivo adjunto cifrado en una segunda ubicación de Hetzner (Falkenstein). Última prueba de restauración: 2026-10-06.
Alcance del personal. Todos los datos del cliente los trata el operador designado. No hay otros empleados ni contratistas: una decisión de alcance deliberada que elimina del modelo de amenazas los riesgos de personal del lado del proveedor (lagunas en la verificación de antecedentes, fugas en altas/bajas, proliferación de contratistas). Los controles de acceso privilegiado del operador designado están documentados y disponibles durante la revisión de compras.
Estado de certificación #
EthicsPortal no reclama actualmente una certificación acreditada ISO 27001 en este sitio. Cuando eso cambie, se publicará aquí el nombre de la certificación.
Prueba de penetración independiente. Spektr Security LLC probó EthicsPortal del 26 al 30 de octubre de 2026: una auditoría de código sobre una copia del código fuente y una prueba de penetración conforme a la OWASP Web Security Testing Guide, sin cuenta y con cada rol de usuario, además de un análisis de la exposición de red del host de producción. La prueba detectó 3 incidencias de severidad media y 2 de severidad baja, y ninguna alta ni crítica. Todas están subsanadas, y la repetición de la prueba por parte del evaluador confirmó las correcciones. La carta de atestación del evaluador está disponible previa solicitud.
En lugar de una certificación acreditada, EthicsPortal publica una autoevaluación estructurada con arreglo a los mismos conjuntos de controles que evaluaría una auditoría externa:
- Una autoevaluación de la ISO/IEC 27001:2022 que cubre las dos mitades de la norma: los requisitos obligatorios del sistema de gestión de los capítulos 4 a 10 y los 93 controles del Anexo A en forma de Declaración de aplicabilidad, cada uno con su estado e indicadores de prueba.
- Un mapa de alineación con las orientaciones de la ISO 37002:2021 que cubre el ciclo de vida de la gestión de denuncias cláusula por cláusula, con la frontera software/operador indicada. (La ISO 37002 es una norma de directrices: ninguna organización puede certificarse con arreglo a ella; la alineación es la única afirmación honesta que cualquier proveedor puede hacer.)
- Documentos de política designados en /policies/: política de seguridad de la información, plan de continuidad de negocio, registro de riesgos, registro de auditoría interna, registro de revisión por la dirección, política anticorrupción y de ética empresarial.
- Un cuestionario alineado con CAIQ ya cumplimentado para las preguntas cuyas respuestas ya están documentadas públicamente.
Estos materiales aportan pruebas para la revisión de compras. Son autoevaluaciones, no una certificación, un encargo de aseguramiento ni una opinión de auditoría independiente.
Ciclo de vida operativo #
| Pregunta | Respuesta |
|---|---|
| Disponibilidad en directo | Publicada en secure.ethicsportal.eu/up para las superficies cubiertas. Consulte el acuerdo de nivel de servicio para la metodología de medición y las exclusiones. |
| Ciclo de vida de la sesión y del acceso | Las sesiones expiran automáticamente tras 14 días de inactividad y se barren cada noche. Los usuarios pueden revisar y revocar sus propias sesiones en cualquier momento. Cada sesión registra last_seen_at, de modo que los dispositivos obsoletos son identificables. La desactivación de un miembro corta el acceso en la frontera de la solicitud, anula las asignaciones de comunicaciones abiertas y elimina las participaciones, preservando el historial de auditoría. Consulte Seguridad. |
| Copias de seguridad y restauración | Volcados diarios de PostgreSQL a Hetzner Object Storage (UE, conservación máxima de 28 días), instantáneas a nivel de servidor de Hetzner (conservación de 7 días) y una copia de cada archivo adjunto cifrado en una segunda ubicación de Hetzner (Falkenstein). RPO de 24 horas, RTO de 4 horas. Última prueba de restauración: 2026-10-06. Consulte Seguridad. |
| Gestión de dependencias y parches | SCA continuo en CI (Brakeman, bundler-audit, importmap audit) más actualizaciones semanales de Dependabot. Sin componentes al final de su vida útil desplegados. Consulte Seguridad. |
| Exportación y supresión | La exportación de expedientes en PDF está disponible en la aplicación para cada caso (descripción, mensajes, registro de auditoría, adjuntos). Los administradores también pueden exportar desde la aplicación el conjunto completo de datos de la organización como archivo ZIP: JSON de la organización, los miembros, la configuración del canal de denuncias y cada comunicación con sus mensajes y notas, además de todos los adjuntos. La descarga exige una nueva confirmación de identidad y queda constancia de ella en el registro de auditoría; el archivo se elimina a los 7 días. Los compromisos contractuales figuran en el contrato de encargado del tratamiento. |
| Objetivos de recuperación | Consulte el acuerdo de nivel de servicio. |
Posiciones contractuales #
Una única fuente de verdad para las preguntas contractuales que con más frecuencia plantean los equipos de compras empresariales. Cada fila enlaza con el documento que rige.
| Elemento | Posición de EthicsPortal |
|---|---|
| Límite de responsabilidad agregado | 12 meses de tarifas abonadas en los 12 meses anteriores al hecho que dé lugar a la reclamación (Términos §11). Las reclamaciones conforme al DPA, SLA y órdenes firmadas están sujetas a un único límite, salvo exigencias de derecho imperativo o excepciones expresamente firmadas. |
| Reclamaciones de propiedad intelectual | Los Términos estándar no imponen el deber de defender ni indemnizar al cliente. Tal obligación requiere una orden independiente firmada (Términos §12). |
| Plazo de notificación de violaciones de la seguridad | Sin dilación indebida desde que se tiene conocimiento, como exige al encargado el Art. 33(2) del RGPD (DPA §6.6). La información sustancial disponible se facilita con la notificación inicial y se completa cuando está disponible. |
| Derechos de auditoría | El DPA ordinario proporciona la información y cooperación de auditoría exigidas por el Art. 28(3)(h) del RGPD, sujetas a salvaguardias razonables de alcance, confidencialidad, seguridad, calendario y costes (DPA §6.9). Todo derecho DORA específico de acceso, inspección, auditoría o cooperación de autoridades requiere una orden DORA separada firmada por ambas partes. La clasificación unilateral del cliente no modifica el contrato. |
| Créditos de servicio | Los planes estándar no incluyen créditos de servicio monetarios. Los remedios por fallos de disponibilidad materiales o reiterados se rigen por el límite de responsabilidad agregado (SLA). |
| Claves de cifrado gestionadas por el cliente (BYOK / KMS externo) | No admitidas. Las claves gestionadas por el Encargado mantienen la arquitectura de cifrado actual. La supresión sigue el ciclo de producción y copias de seguridad indicado en DPA §6.8 y §6.11; no se promete la supresión instantánea de cada copia. |
| Depósito en custodia del código fuente (escrow) | No se ofrece. La continuidad se gestiona a través de las disposiciones de incapacidad del operador del plan de continuidad de negocio y de los derechos de exportación y supresión de datos del Responsable del tratamiento conforme al DPA §6.8. |
| Aviso de cambio de subencargado del tratamiento | Al menos 30 días antes de añadir o sustituir a un subencargado del tratamiento; el Responsable del tratamiento puede oponerse y resolver si no se alcanza una solución (DPA §6.4). |
| Exportación y supresión de datos a la salida | Exportación de expedientes en PDF y exportación legible por máquina del conjunto completo de datos de la organización (ZIP con archivos JSON y adjuntos), ambas en autoservicio desde el producto. Tras finalizar el Servicio, los datos se devuelven o suprimen a elección del Responsable; las copias de seguridad expiran según el ciclo indicado, actualmente a más tardar 28 días después de la supresión de producción (DPA §6.8). |
| Seguro de responsabilidad cibernética | En revisión. El importe de la cobertura y la aseguradora se publicarán aquí cuando estén en vigor. |
| Prueba de penetración externa independiente | Realizada por Spektr Security LLC, del 26 al 30 de octubre de 2026; todos los hallazgos subsanados y confirmados mediante la repetición de la prueba (resumen). Carta de atestación disponible previa solicitud. Las pruebas de primera parte se resumen en pruebas de seguridad realizadas internamente y no la sustituyen. |
| Ley aplicable y jurisdicción | Leyes de Polonia; tribunales de Varsovia (Términos §13). El Servicio se ofrece únicamente a organizaciones para uso empresarial o profesional. |
Estas posiciones se reflejan en los Términos del servicio, el contrato de encargado del tratamiento y el acuerdo de nivel de servicio publicados. No se conceden desviaciones materiales en los planes estándar.
Documentos públicos #
Todo lo que un revisor de compras necesita se publica abiertamente. Agrupado por lo que hace el documento.
Contractuales #
Lo que rige la relación entre EthicsPortal y el cliente.
| Documento | Finalidad |
|---|---|
| Términos del servicio | Términos de suscripción, cancelación, reembolsos, límite de responsabilidad y posición sobre reclamaciones de PI |
| Contrato de encargado del tratamiento | Términos de encargo del tratamiento conforme al art. 28 del RGPD |
| Acuerdo de nivel de servicio | Objetivo de disponibilidad y medición |
| Política de privacidad | Cómo se tratan los datos personales |
Operativos #
Cómo funciona el Servicio en el día a día y quién más interviene.
| Documento | Finalidad |
|---|---|
| Seguridad | Medidas técnicas y organizativas |
| Subencargados del tratamiento | Subencargados del tratamiento designados y su alcance |
| Registro de incidentes | Incidentes materiales que afectan a datos personales |
| Accesibilidad | Estado de conformidad con la EAA / EN 301 549 |
Referencia de la Directiva #
Cómo se corresponde EthicsPortal con la Directiva (UE) 2019/1937, y cómo la lee.
| Documento | Finalidad |
|---|---|
| Mapa de cobertura de la Directiva 2019/1937 | Mapa de función a artículo de la Directiva 2019/1937 |
| Interpretaciones de la Directiva 2019/1937 | Posiciones interpretativas sobre las disposiciones ambiguas de la Directiva |
| Leyes de protección del informante por país | Transposiciones nacionales, autoridades de aplicación |
| Sanciones por país | Multas y responsabilidad penal por Estado miembro |
Autoevaluación #
Documentos de política designados y las correspondencias de controles que evaluaría una auditoría externa.
| Documento | Finalidad |
|---|---|
| Política de seguridad de la información | Declaración de intenciones, alcance, roles, compromisos de control |
| Plan de continuidad de negocio | Desencadenantes de activación, objetivos de recuperación, divulgación de incapacidad del operador |
| Registro de riesgos | Principales riesgos, tratamiento, posición residual |
| Registro de auditoría interna | Programa de auditoría, hallazgos y el límite de imparcialidad de una auditoría realizada internamente |
| Registro de revisión por la dirección | Entradas consideradas, conclusiones y decisiones adoptadas sobre el sistema de gestión |
| Política anticorrupción y de ética empresarial | Conductas prohibidas, umbrales de regalos y hospitalidad, conflictos de interés, divulgación de comisiones por recomendación |
| Autoevaluación de la ISO/IEC 27001:2022 | Los requisitos de los capítulos 4 a 10 y los 93 controles del Anexo A, en forma de Declaración de aplicabilidad |
| Correspondencia con el Esquema Nacional de Seguridad | Las 73 medidas del Anexo II del RD 311/2022 frente a los controles ya operados; no es una declaración de conformidad |
| Pruebas de seguridad realizadas internamente | Alcance, fechas, hallazgos y subsanación de las pruebas de primera parte |
| Cuestionario alineado con CAIQ | Evaluación de seguridad del proveedor ya cumplimentada (estructura de dominios CSA CAIQ v4) |
Disponible durante la revisión de compras #
Los siguientes materiales se comparten en divulgación controlada en lugar de publicarse abiertamente:
- DPA firmado
- Extracto registral y prueba del NIP / fiscal
- Cuestionario de seguridad cumplimentado
- Resumen del acceso privilegiado a producción
- Resumen de respuesta a incidentes
- Respuestas de continuidad de negocio, salida y exportación del cliente
- Carta de atestación de la prueba de penetración externa
Para solicitarlos, escriba a support@ethicsportal.eu. Para preguntas de revisión de seguridad, escriba a security@ethicsportal.eu.
Última actualización: