RGPD
PaperOffice cumple los requisitos del RGPD para encargados del tratamiento — contrato de encargo (art. 28) y TOM (art. 32) del generador, tratamiento en la UE.
- Procesamiento de datos en la UE
- Derecho a la eliminación
- Procesamiento transparente
Seguridad y cumplimiento normativo
Control que se puede verificar.
AVV, TOM y certificado ISO/IEC 27001 — documentado, no solo afirmado.
Confianza de empresas líderes en todo el mundo
ASOCIACIÓN OEM
Los gigantes del hardware eligen exclusivamente PaperOffice.
Único partner oficial de DMS para QNAP: app Classic, AI BYOS.
MásISO/IEC 27001
CERTIFICADO
SOC 2 Type 2
EN PREPARACIÓN
Único partner oficial de DMS para ASUSTOR: app Classic, AI BYOS.
MásPrueba
En el DataCenter. En la aplicación.
Procesamiento en hardware propio en el EU Datacenter Spain. El generador crea el AVV y TOM con los datos de la empresa, como PDF.
100% UESin nube públicaSin subprocesadores
Estándares y evidencias EU Datacenter Spain
Hardware propio. Sin nube pública. Sin hyperscalers.
Generador en la aplicación
AVV y TOM se generan con los datos de la empresa, como PDF.
Cloudflare Inc.
Protección de red: mitigación de DDoS, WAF y CDN. Sin acceso a documentos.
Documentación adicional
Whitepaper, informe de prueba de penetración y certificado ISO/IEC 27001 bajo solicitud desde el plan Enterprise.
Estándares y evidencias
Estándares de seguridad reconocidos. Preparados para auditorías.
Estándares documentados: requisitos del RGPD para encargados del tratamiento cumplidos. Certificado ISO/IEC 27001; SOC 2 Type II en preparación.
ISO/IEC 27001 (certificado) Certificado ISO/IEC 27001 (certificado disponible bajo NDA); SOC 2 Type II en preparación.
Estándar internacional para la Gestión de la Seguridad de la Información
- ISMS según ISO 27001
- Auditorías anuales
- Mejora continua
SOC 2 Tipo II (en preparación) Certificado ISO/IEC 27001 (certificado disponible bajo NDA); SOC 2 Type II en preparación.
Control de Organización de Servicios del AICPA para Criterios de Servicios de Confianza
- Controles de seguridad
- Disponibilidad
- Confidencialidad
HIPAA
Estándar de EE. UU. para datos de salud — PaperOffice cumple todos los requisitos técnicos de protección de la HIPAA Security Rule.
- Control de acceso, MFA y registros de auditoría
- Cifrado en tránsito y en reposo
- BAA a petición (anexo independiente)
Pagos con tarjeta a través de Stripe
Los pagos con tarjeta se realizan a través de Stripe Checkout. Los datos de la tarjeta se introducen en Stripe y no llegan a los servidores de PaperOffice.
- Stripe: proveedor de servicios PCI DSS Nivel 1
- Página de pago alojada por Stripe
- Sin números de tarjeta en los servidores de PaperOffice
GoBD
Componentes técnicos para la conservación según el GoBD (normas contables alemanas)
- Versiones inmutables (WORM)
- Sumas de verificación e integridad
- Registro de auditoría completo
Certificado ISO/IEC 27001 (certificado disponible bajo NDA); SOC 2 Type II en preparación.
Cifrado
Cifrado AES-256
Cada documento se almacena cifrado con AES-256 y se transmite mediante TLS 1.3.
En reposo
Todos los datos almacenados totalmente cifrados
En tránsito
TLS 1.3 para todas las conexiones
Gestión de claves
Claves almacenadas fuera de la base de datos — legibles únicamente por servicios autorizados
Conocimiento cero
No podemos leer sus datos
Arquitectura
Confianza cero. Sin confianza implícita. Cada solicitud se verifica.
Cada solicitud es autenticada. Cada acceso es registrado. Sin excepciones.
Identidad primero
Autenticación multifactor, claves de acceso y inicio de sesión con Google; verificación de códigos en dispositivos nuevos y redes inusuales.
Privilegio mínimo
Permisos mínimos. Solo acceso a lo que realmente se necesita.
Verificación continua
Verificación permanente. Sin "zonas de confianza". Cada sesión es validada.
Pista de auditoría completa
Registro completo de todos los accesos. Registros de auditoría inmutables.
Microsegmentación
Segmentos de red aislados. Una brecha en un área permanece aislada.
Supervisión de inicios de sesión
Alertas para inicios de sesión desde nuevos dispositivos, nuevas direcciones IP o redes VPN, proxy y de centros de datos. «No, no fui yo» bloquea la cuenta y finaliza todas las sesiones.
Centro de Confianza
AVV y TOM en la aplicación.
El generador en la aplicación crea AVV y TOM con los datos de la empresa, como PDF.
Art. 28 RGPD
Generador de contratos de tratamiento de datos
El contrato de tratamiento de datos se genera en la aplicación, prellenado con los datos de la empresa, como PDF con el membrete PaperOffice.
- Servicios seleccionables individualmente
- En el paquete de cumplimiento junto con las TOM
- Historial de todas las versiones generadas
Art. 32 RGPD
Generador de TOM (Medidas Técnicas y Organizativas)
Medidas técnicas y organizativas para exactamente los servicios utilizados en la cuenta.
- Catálogo de medidas por servicio
- Vista previa antes de la descarga
- PDF en el paquete de cumplimiento junto con el contrato de tratamiento de datos
Tiempo real
Security Center
Todas las sesiones y dispositivos de la cuenta a la vista: quién accede, cuándo y desde dónde.
- Panel de dispositivos con estado en vivo
- Mapa de ubicación de las sesiones activas
- Bloquear o eliminar sesiones
Protección de acceso
Geo-Fencing
Se define para cada dispositivo desde qué países se permite el acceso. Las regiones no autorizadas se bloquean.
- Autorización por país por dispositivo
- Bloqueo de regiones no compartidas
- Gestión en el Centro de Seguridad
Transparencia
Sin subprocesadores. Control máximo.
PaperOffice opera su propia infraestructura de la UE. Contra los ataques DDoS y los bots, PaperOffice utiliza Cloudflare Enterprise como protección de red — sin acceso a los documentos.
Protección de red
Cloudflare Inc.
Protección DDoS y CDN
- Mitigación de DDoS, WAF y protección contra bots
- Sin acceso al contenido de los documentos
- Plan Enterprise con soporte prioritario
- Solo enrutamiento de tráfico – sin almacenamiento de datos
Infraestructura central: 100% sistemas propios
Bases de datos, almacenamiento, modelos de IA y sistemas de copia de seguridad funcionan en hardware propio en el EU Datacenter Spain.
- Sin servicios de nube de hiperscaladores estadounidenses
- Sin US CLOUD Act – sin acceso de autoridades estadounidenses
- Infraestructura de IA propia para todas las funciones
- Sin transferencia de datos a terceros países
Documentación adicional
Whitepaper, informe de prueba de penetración y el certificado ISO/IEC 27001 están disponibles bajo solicitud a partir del plan Enterprise.
En la aplicación
- Contrato de tratamiento de datos (AVV) Conforme al Art. 28 del RGPD — generado con los datos corporativos.
- Documentación TOM Medidas técnicas y organizativas conforme al Art. 32 del RGPD.
- Paquete de cumplimiento AVV y TOM en un único PDF, con historial de todas las versiones.
Bajo solicitud a partir del plan Enterprise
- Documento blanco de seguridad Arquitectura, cifrado y procesos de seguridad en resumen.
- Informe de prueba de penetración Resumen de la última auditoría independiente — sujeto a NDA.
- Certificado y estado de auditoría Certificado ISO/IEC 27001 bajo solicitud y sujeto a NDA; SOC 2 Type II en preparación.