Urbantz / Mapa del sitio
Seguridad
Urbantz funciona en la UE sobre Microsoft Azure, cifra tus datos en reposo y en tránsito, y revisa cada cambio en busca de vulnerabilidades antes de ponerlo en producción. En esta página explicamos lo que hacemos y lo que tu equipo de seguridad puede pedirnos que le mostremos.
01/Normas
Qué está certificado, qué cumplimos y qué está en curso. Cada punto está indicado como tal.
Nuestro sistema de gestión de la seguridad de la información está en proceso de certificación según la norma ISO/IEC 27001:2022, con el compromiso formal de nuestra dirección. Más de 60 controles ya se supervisan de forma continua en una plataforma de automatización del cumplimiento.
Urbantz actúa como tu encargado del tratamiento conforme a un acuerdo estándar de tratamiento de datos (art. 28 del RGPD). Contamos con un delegado de protección de datos, te avisamos con antelación antes de añadir un subencargado y te notificamos cualquier violación de datos personales sin dilación indebida.
La plataforma funciona sobre Microsoft Azure y MongoDB Atlas, ambos con certificación ISO/IEC 27001. Azure cuenta además con las certificaciones ISO/IEC 27017 y 27018 y con informes SOC 1, 2 y 3, publicados en el Microsoft Service Trust Portal.
02/Cómo protegemos la plataforma
Microsoft Azure, región West Europe (Países Bajos).
El entorno de producción se reparte entre zonas de disponibilidad en los Países Bajos y escala automáticamente según la carga. Las copias de seguridad y la recuperación se ubican en una segunda región de Azure, en Francia.
Los servidores de aplicaciones y las bases de datos se encuentran en una red privada sin exposición directa a internet. El tráfico entra a través de un cortafuegos de aplicaciones web que también absorbe los ataques DDoS.
Cada cambio en la infraestructura y en las aplicaciones se hace en código, se revisa y se despliega a través de un único pipeline que conserva un registro de auditoría completo.
Los datos de cada cliente están separados lógicamente de los de todos los demás, y los clientes acceden a ellos a través de la API, nunca directamente a la base de datos. El aislamiento entre clientes es lo primero que ponen a prueba nuestros tests de seguridad.
Todos los datos en reposo, incluidas las copias de seguridad, se cifran con AES-256.
Todas las conexiones usan TLS 1.2 o superior, normalmente TLS 1.3, incluido el tráfico entre nuestros propios servicios. Los protocolos más antiguos se rechazan.
Las claves de cifrado y los secretos se guardan en Azure Key Vault, respaldado por módulos de seguridad de hardware y con rotación automática. Los servicios se autentican con identidades administradas, no con credenciales estáticas.
Los datos personales y confidenciales nunca se copian a entornos de pruebas ni a otro cliente.
Configura la plataforma para anonimizar los datos de destinatarios y usuarios un número de meses que tú eliges tras la entrega o la inactividad. Cuando termina un contrato, dispones de un mes para exportar tus datos a través de la API antes de que se archiven y, después, se eliminen definitivamente o se anonimicen. Podemos emitir un certificado de destrucción si lo solicitas.
Conecta tu proveedor de identidad mediante OpenID Connect y OAuth 2.0, incluido Microsoft Entra ID, y aplica allí la autenticación multifactor.
Control de acceso granular basado en roles para cada usuario. Las reglas de contraseña se pueden adaptar a tu política y las cuentas se bloquean tras diez intentos fallidos.
Las claves de API y los clientes OAuth 2.0 se limitan a una sola plataforma, y los tokens OAuth caducan a los cinco minutos. El sandbox y la producción tienen credenciales distintas, y los webhooks salientes pueden autenticarse con OAuth 2.0 o con un secreto compartido.
La autenticación multifactor resistente al phishing es obligatoria para los administradores y para el acceso a producción. Solo un pequeño grupo de ingenieros de plataforma puede acceder a las cuentas cloud, los accesos se revisan con regularidad y cada acceso queda registrado.
Cada cambio se revisa entre pares y pasa por tests automatizados, análisis estático y escaneo de dependencias y secretos antes de poder publicarse.
Las imágenes de contenedor se escanean de forma continua en producción, y el clúster se verifica cada día con el benchmark de CIS.
Publicamos pequeñas versiones casi a diario, incluidas las correcciones de seguridad, sin ventana de mantenimiento y solo después de que las aprueben los responsables de calidad.
Una empresa independiente realiza pruebas de penetración de la plataforma. La más reciente, a finales de 2025, no detectó problemas graves y calificó el riesgo global como bajo.
Las métricas, los logs y las trazas están centralizados y se conservan durante un año. Las alertas automáticas llegan a nuestros propios ingenieros de guardia, las 24 horas del día.
Los inicios de sesión, los cambios de configuración y otros eventos sensibles quedan registrados y son visibles para tus administradores en la plataforma.
Cada incidente se contiene, se investiga, se corrige y se analiza después. Si tus datos se ven afectados, te lo comunicamos sin dilación indebida, a tiempo para que cumplas tus propias obligaciones del RGPD.
Estado de la plataforma en tiempo real e historial de incidentes, con actualizaciones por correo electrónico para quien se suscriba.
La disponibilidad está comprometida en tu acuerdo de nivel de servicio. En 2025, la plataforma estuvo disponible el 99,998 % del tiempo.
Instantáneas frecuentes de las bases de datos, con copias diarias, semanales y mensuales conservadas hasta doce meses, cifradas y almacenadas en otra región de Azure.
Cada año trasladamos la plataforma a nuestra región de recuperación. El último ejercicio la reconstruyó en menos de dos horas.
Un equipo de soporte interno con base en Europa, con cobertura 24/7/365 y una línea de emergencia en el soporte Premium.
Nuestra política de seguridad de los sistemas de información y las políticas que dependen de ella se revisan al menos una vez al año.
Cada empleado sigue un programa de seguridad obligatorio, desde su incorporación, y una formación anual en protección de datos y seguridad.
Verificación de antecedentes para todas las personas con acceso a producción, cuando la legislación local lo permite, y cláusulas de confidencialidad en todos los contratos laborales.
Cada empleado accede a todas las herramientas mediante inicio de sesión único con autenticación multifactor y guarda sus credenciales en un gestor de contraseñas de la empresa. Los accesos se revocan el mismo día en que alguien se marcha.
03/Milo e IA
Milo, la capa de IA de la plataforma, cumple el mismo estándar que todo lo demás, y algunos requisitos propios más.
Milo utiliza modelos Claude de Anthropic servidos por Google Cloud exclusivamente desde regiones de la UE. El proveedor no guarda ningún registro de las solicitudes ni de las respuestas, y solo se envían los campos que necesita cada tarea: nunca datos de pago, posiciones GPS, firmas ni fotos.
Tus datos nunca se usan para entrenar ni ajustar un modelo, y nunca se comparten con otro cliente. Las conversaciones se quedan en nuestra propia base de datos en la UE y se eliminan 30 días después de la última actividad.
Milo actúa con los derechos del usuario que ha iniciado sesión y nada más. No escribe nada sin aprobación explícita, y cualquier cambio en una entrega la pide cada vez.
Cada acción figura en el registro de auditoría junto a los cambios manuales. Milo se puede desactivar en tu plataforma en cualquier momento.
04/Diligencia debida
Tus equipos de seguridad y de compras pueden solicitar los documentos que respaldan esta página, bajo NDA cuando sea necesario.
Arquitectura, control de acceso, copias de seguridad y recuperación, en un solo documento.
Las medidas que aplicamos como tu encargado del tratamiento, tal como figuran en el anexo del acuerdo de tratamiento de datos.
Nuestro acuerdo estándar conforme al art. 28 del RGPD, con la lista actual de subencargados y el lugar donde opera cada uno.
El resumen de nuestra última prueba de penetración independiente.
Completamos los cuestionarios de seguridad de clientes y de licitaciones (RFP), incluidos formatos estándar como SIG.
Compromisos de disponibilidad, horario de soporte y tiempos de respuesta. El estado en tiempo real y el historial de incidentes son públicos.
Estado de la plataformaLes explicaremos la arquitectura y responderemos directamente a sus preguntas.