Cumplimiento
Cumplimiento
Ubicación de los datos, funciones del RGPD, controles de seguridad y qué certificaciones no tiene Formabi.
Alojado en Alemania
La aplicación, la base de datos y cada copia de seguridad de ambas están en un centro de datos en Falkenstein, Alemania. El correo transaccional sale a través de un relé en Francia. Ninguna parte de los datos de tus formularios pasa por un proveedor fuera de la UE.
- ✓ Dos subencargados en total, ambos en la UE
- ✓ La analítica web y el CRM están autoalojados, no en manos de terceros
Un centro de datos con certificación ISO/IEC 27001
Nuestros servidores funcionan en Hetzner Online GmbH, cuyos parques de centros de datos alemanes están certificados según ISO/IEC 27001 para la gestión de la seguridad de la información. Ese certificado es de Hetzner, no nuestro. Cubre el emplazamiento físico, la energía, el control de acceso y la red sobre los que funciona Formabi.
Funciones del RGPD en el producto
Las solicitudes de los interesados se gestionan en el propio Formabi, sin ticket de soporte ni exportación manual.
- ✓ Derecho de acceso (art. 15): encuentra todo lo que se guarda sobre una persona en todos los formularios y expórtalo en un solo paquete
- ✓ Derecho de supresión (art. 17): elimina un campo, un envío, un formulario o un espacio de trabajo entero, y cada solicitud queda registrada
- ✓ Limitación del plazo de conservación (art. 5): fija un periodo de conservación por espacio de trabajo y los envíos más antiguos se eliminan automáticamente
- ✓ Consentimiento (art. 7): se guarda con una instantánea del texto exacto mostrado, y la retirada queda registrada junto a él
- ✓ Registro de actividades de tratamiento (art. 30): un registro de auditoría de inicios de sesión, cambios y acciones sobre interesados, conservado 365 días
Cifrado en tránsito y en reposo
Todas las conexiones son solo HTTPS, con TLS 1.2 o 1.3 y HSTS. Las bases de datos y los volúmenes de cada cliente están en discos cifrados. Las copias de seguridad se cifran en el servidor antes de ir a ninguna parte.
Autenticación
Autenticación en dos pasos con códigos de recuperación, e inicio de sesión único con cualquier proveedor OpenID Connect, como Google Workspace, Microsoft Entra ID u Okta. Puedes exigir SSO, limitar el registro a tu dominio de correo y sincronizar roles desde tu directorio.
- ✓ Contraseñas cifradas con bcrypt, y tokens de sesión guardados solo como hash
- ✓ Consulta cada sesión iniciada y revoca la que quieras
- ✓ Los intentos de inicio de sesión tienen límite de frecuencia
Una base de datos independiente por cliente
Cada cliente funciona en su propio contenedor con su propia base de datos. El servidor de bases de datos solo deja a cada cliente abrir la base que lleva su nombre, y se retiran los permisos de conexión a todos los demás.
Copias de seguridad y pruebas de restauración
Copias de seguridad nocturnas cifradas: se conservan siete diarias, cuatro semanales y seis mensuales. Las restauraciones se prueban; la última prueba fue el 22 de septiembre de 2026.
Los cambios de infraestructura se revisan y se versionan
Nuestra infraestructura está declarada como código (NixOS), así que la configuración de cada servidor está versionada y cada cambio pasa por revisión. Las dependencias se analizan en busca de vulnerabilidades conocidas en cada build de versión.
Electricidad renovable
Hetzner alimenta sus centros de datos alemanes con electricidad de fuentes renovables.
Certificaciones
Formabi no tiene certificación ISO 27001 ni SOC 2. Todo lo que aparece en esta página es un control que aplicamos y podemos demostrar. La referencia completa, escrita para procesos de due diligence, está en Seguridad y cumplimiento, y los proveedores que usamos figuran en Subencargados.
Documentación para auditorías
Bajo petición: contrato de encargo del tratamiento (art. 28 RGPD), cuestionario de seguridad cumplimentado y explicación de estos controles.
O escríbenos directamente a help@formabi.com