Confianza y seguridad
Independiente por diseño. Seguro por defecto.
Proofpoints convierte las propias palabras de sus clientes en historias publicadas. Lo hemos creado para que confíen en él las organizaciones más exigentes en materia de seguridad, y eso empieza por una sencilla decisión de arquitectura: nunca nos conectamos a sus sistemas.
No existe ninguna integración con su CRM, su pipeline de ventas, sus sistemas financieros, su proveedor de identidad ni su red interna. No hay nada que conectar. Lo único que nos llega es el contenido de la historia que sus defensores deciden compartir y los contactos concretos que usted decide invitar a participar en una campaña, nunca una conexión con los sistemas donde residen sus datos sensibles.
El perímetro de confianza
Lo que cruza la línea y lo que nunca la cruza
Todo lo de la izquierda es lo que necesita una historia. Todo lo de la derecha permanece siempre dentro de su organización. Somos un servicio acotado, con un único propósito y una superficie deliberadamente reducida.
Entra
· Transcripción de la entrevista
· Contenido y ediciones de la historia
· Nombre y cargo del defensor
· Contactos de campaña que usted sube (nombre, cargo, correo profesional)
· Nombre de la empresa y datos públicos
El perímetro de Proofpoints
Cifrado. Alojado en la UE. Aislado por organización. Procesado únicamente para crear su historia.
› Base de datos y registro de auditoría (UE)
› Almacenamiento de archivos cifrado
› Modelos de IA (nunca entrenados con sus datos)
› Transcripción
Nunca cruza
✕ Su CRM
✕ Datos de ventas y pipeline
✕ Sistemas financieros
✕ Proveedor de identidad / directorio SSO
✕ Redes internas
✕ Sus bases de datos de clientes o empleados
No accedemos a ninguno de sus sistemas ni incorporamos datos operativos masivos. Lo que conservamos se limita al contenido de la historia y a los contactos de campaña concretos que usted nos facilita: una huella deliberadamente pequeña y bien definida.
Alcance de los datos
Solo lo que necesita una historia
Qué datos conservamos
La transcripción de la entrevista y la historia tal como se redacta y se edita; el nombre y el cargo del Defensor; los datos públicos de la empresa cliente y, en el caso de una campaña, los contactos que usted decide invitar: su nombre, cargo y correo profesional. Eso es todo lo que conservamos.
Cómo tratamos los datos de contacto
Se trata de las personas concretas que usted quiere incluir en una historia: un grupo reducido y seleccionado de posibles defensores, no una lista de distribución masiva. Actuamos como su encargado del tratamiento: sus datos se utilizan únicamente para invitarlos y recoger su historia, y nunca se venden, se comparten ni se usan para entrenar la IA. Se tratan conforme al RGPD, están cubiertos por nuestro DPA y se eliminan a petición.
Consentimiento para lo que se publica
El consentimiento para la grabación y un paso formal de aprobación están integrados en el flujo de trabajo. El Defensor revisa y da el visto bueno antes de que se publique su historia: nunca publicará nada que nadie haya aprobado.
Dónde se aloja
Alojamiento, residencia de datos y subencargados
Proofpoints funciona sobre una infraestructura conforme a SOC 2. Todos los proveedores de infraestructura que se indican a continuación (base de datos, alojamiento, almacenamiento de archivos, correo electrónico y pagos) cuentan con un informe SOC 2 Tipo II vigente, auditado de forma independiente cada año. Los tres que almacenan sus datos (base de datos, alojamiento y almacenamiento de archivos) disponen además de la certificación ISO 27001, y sus datos se alojan en la UE. Nuestros proveedores de infraestructura figuran a continuación; los servicios especializados se describen según su función y los datos a los que pueden acceder. La lista completa con nombres se facilita a los clientes, y a los clientes potenciales bajo acuerdo de confidencialidad, con aviso de cualquier cambio.
Para clientes de EE. UU. y otros países fuera de la UE: el alojamiento en la UE cumple la normativa de protección de datos más estricta, por lo que sus datos están protegidos al máximo nivel. Una mayor protección es una ventaja, no una limitación, y los mecanismos estándar cubren cualquier transferencia internacional. Si su organización necesita una región de alojamiento concreta, hable con nosotros.
La IA y sus datos
Sus palabras nunca se usan para entrenar modelos
Nunca entrenamos modelos con su contenido
Proofpoints no utiliza en ningún caso sus historias, transcripciones ni datos para entrenar ningún modelo.
Nuestros proveedores de modelos tampoco
Solo utilizamos modelos de vanguardia, los modelos insignia actuales de los principales laboratorios de IA, mediante condiciones de API que prohíben el entrenamiento con los datos enviados y admiten una retención breve o nula. Cada llamada a un modelo se procesa en la región del propio proveedor durante el tiempo que dura la llamada; sus historias y archivos almacenados nunca salen de la UE. En los proyectos empresariales, solo trabajamos con estos proveedores.
Siempre en manos de personas
La IA redacta; las personas deciden. Una persona revisa y aprueba cada historia antes de publicarla. Ningún modelo publica nada de forma automática.
Dónde se utiliza exactamente la IA
Total transparencia sobre cada tarea en la que interviene un modelo: qué hace y qué datos ve. En todos los casos, los datos pertenecen a la propia organización y una persona revisa el resultado.
El equipo de Proofpoints elige la selección de modelos y la mantiene actualizada: solo modelos de vanguardia, nunca modelos pequeños, sin verificar o autoalojados. Los administradores eligen dentro de esa selección y pueden adaptar las instrucciones de cada tarea. Todos los resultados son editables, y una persona revisa y aprueba cada historia antes de su publicación.
Cómo se identifica el contenido generado por IA
El artículo 50 del Reglamento de IA de la UE exige que el contenido generado por IA pueda reconocerse como tal y que las personas sepan cuándo están hablando con una IA. Esto es lo que aplicamos hoy, elemento por elemento. Su núcleo es anterior a cualquier normativa: la persona citada lee la historia final y la aprueba con su nombre.
Aún no: credenciales de contenido con firma criptográfica (C2PA) en los archivos exportados. Lo reconsideraremos cuando un cliente o un proceso de compras lo solicite. No sometemos las historias a «detectores de IA»; explicamos nuestros motivos en nuestros estándares.
Controles
Cómo lo protegemos, día a día
Aislamiento entre clientes
Los datos de cada organización están completamente aislados. Las solicitudes entre clientes devuelven «no encontrado»: nunca los datos de otro cliente, ni el menor indicio de que existan.
Acceso basado en roles
Los roles de miembro, administrador y propietario controlan cada acción. Las lecturas, escrituras y eliminaciones requieren el rol correspondiente, que se aplica en el servidor en cada solicitud.
Cifrado en todas partes
Todos los datos se cifran en tránsito (TLS) y en reposo de forma predeterminada en nuestra base de datos, el almacenamiento de archivos y las copias de seguridad.
Registro de auditoría
Cada creación, actualización y eliminación queda registrada con el usuario, la acción, el recurso, la IP y la marca de tiempo, y se conserva durante un mínimo de dos años.
Mínimo privilegio
Las claves administrativas residen únicamente en el servidor y nunca se exponen al navegador. Los webhooks se verifican mediante firma antes de cualquier procesamiento.
Seguridad reforzada por defecto
Cabeceras de seguridad en las respuestas y validación estricta de las entradas en cada solicitud; además, los errores internos de la base de datos nunca se muestran a los clientes.
Cumplimiento
Dónde estamos
Proofpoints cuenta con la certificación Cyber Essentials, la certificación básica del National Cyber Security Centre del Reino Unido, otorgada por IASME el 16 October 2026 y válida hasta el October 2027. Se renueva cada año, y el certificado puede consultarse en el registro público.
La plataforma está construida conforme a los controles SOC 2: el aislamiento entre clientes, el mínimo privilegio, el cifrado, el registro de auditoría y la gestión de cambios forman parte de su diseño, no se han añadido a posteriori. Una auditoría SOC 2 formal y una prueba de penetración independiente figuran en nuestra hoja de ruta; con gusto compartiremos el estado actual, las evidencias y los plazos bajo un acuerdo de confidencialidad (NDA). Respaldamos el cumplimiento de las obligaciones del RGPD, la residencia de datos en la UE y un Acuerdo de Tratamiento de Datos con una cláusula explícita que prohíbe el entrenamiento de IA. Estamos inscritos en la Information Commissioner's Office (ICO) del Reino Unido con el número de registro ZC197482.
Más allá de eso, preferimos decirle exactamente en qué punto estamos antes que insinuar una certificación que no hemos obtenido. Si una certificación es un requisito imprescindible para usted, hable con nosotros: le mostraremos el plan.
Las preguntas de una revisión de seguridad
Una línea por pregunta, para que el revisor pueda consultarlas de un vistazo.
Diligencia debida
El paquete de seguridad
Público – esta página
Nuestro enfoque arquitectónico, el alcance de los datos, la lista de subencargados del tratamiento, nuestra posición sobre la IA y los controles. Todo lo necesario para una primera revisión, sin necesidad de NDA.
Privado – bajo NDA
El paquete de evidencias: estado e informes de la auditoría de seguridad, resultados de las pruebas de penetración, un cuestionario de seguridad cumplimentado (CAIQ / SIG), nuestro DPA y los acuerdos con subencargados, y un flujo de datos detallado para su revisión. Solicítelo y se lo enviaremos con rapidez.
¿Tiene preguntas sobre seguridad o diligencia debida? Escriba a security@proofpoints.com. Estado del servicio en tiempo real: proofpoints.betteruptime.com. Para notificar una vulnerabilidad, utilice la misma dirección – respondemos con prontitud y no emprenderemos acciones contra investigadores que actúen de buena fe.