Seguridad en Onplana
Los datos de sus proyectos son críticos. Los protegemos con seguridad de nivel empresarial, cifrado, controles de acceso, registros de auditoría y aislamiento de datos, para que se centre en entregar proyectos y no en preocuparse por las brechas.
¿Está evaluando Onplana para su organización? Lea la revisión de seguridad respondida, con el tratamiento de datos de IA primero.
Los pilares de la seguridad
La seguridad está en cada capa de la plataforma Onplana, de la autenticación a la infraestructura.
Cifrado en todas partes
- TLS 1.2+ para todos los datos en tránsito
- Cifrado AES-256 para los datos en reposo
- HTTPS obligatorio en todos los puntos de conexión
- Conexiones a la base de datos cifradas con SSL
Autenticación y acceso
- Autenticación en dos pasos (TOTP + 10 códigos de respaldo de un solo uso)
- Restablecimiento de 2FA en el inquilino (Owner o Admin de la organización, con protecciones de privilegios)
- SSO mediante SAML 2.0 y OIDC (Enterprise) con comprobación de dominio verificado
- SCIM 2.0 con desactivación por inquilino y cambios auditados
- Bloqueo por fuerza bruta (con Redis, Postgres como respaldo)
- Códigos de intercambio de un solo uso, sin JWT en la URL
- Versionado de tokens y cierre de sesión global
- Lista de IP permitidas (Enterprise)
Auditoría y cumplimiento
- Registro de auditoría de solo anexado con comparaciones estructuradas de antes y después
- Seis perfiles de retención: STANDARD / GDPR / HIPAA / FINRA / SOC 2 / CUSTOM
- Para quien pertenece a varias organizaciones, gana la retención más estricta
- Flujo de eventos de seguridad (inicios de sesión, cambios de contraseña, 2FA, SCIM)
- Exportación de auditoría en CSV o JSON con filtros e intervalos de tiempo
- Panel con puntuación de cumplimiento (2FA, alcance de tokens, retención, IP)
- Comités de control de cambios para proyectos gobernados
Infraestructura
- Alojado en Microsoft Azure, un proveedor de nube que cumple SOC 2
- Datos de cada inquilino limitados a su organización en cada consulta
- Copias de seguridad automáticas con recuperación a un momento dado
- Protección contra DDoS y limitación de solicitudes
- Análisis periódico de vulnerabilidades
Protección de datos
- Aislamiento entre inquilinos: las organizaciones nunca ven los datos de otras
- Eliminación temporal con papelera de reciclaje (30 días de recuperación)
- Residencia de datos mediante un despliegue dedicado en su propia suscripción de Azure (Enterprise+); el servicio gestionado funciona en una sola región
- Sus datos nunca se usan para entrenar modelos de IA
- Exportación de datos disponible en cualquier momento (sin ataduras)
Controles de la organización
- Cinco roles predeterminados más roles personalizados (desde el plan Business)
- Claves de permisos detalladas (organización y proyecto)
- Solo el Owner edita la matriz de permisos (bloqueo de escalada)
- Protección del último Owner: no se puede degradar al único Owner
- Un Admin no puede restablecer la 2FA de un Owner (aislamiento de privilegios)
- Gestión de plazas de invitado con límites por plan
- Revisión de accesos con estado de 2FA, último inicio de sesión y marca de inactividad
Refuerzo en producción
- Protección de arranque: el servicio no inicia con secretos ausentes o mal formados
- Secretos JWT de un solo propósito (autenticación, estado de SSO, facturación, calendario)
- Cabeceras Helmet (HSTS, CSP, X-Frame-Options, COOP/CORP)
- Límites por ruta (autenticación, OAuth, IA, SCIM por inquilino)
- Webhooks con HMAC-SHA256 y protección contra SSRF
- Verificación del SHA de compilación al desplegar (sin retrasos silenciosos de versión)
Sus documentos
Qué ocurre con un contrato, un plan o un archivo de cliente cuando lo sube a Onplana.
Almacenamiento privado y cifrado
Los archivos subidos se guardan en Azure Blob Storage en West US, cifrados en reposo por Azure Storage y replicados en una segunda región (East US). La cuenta de almacenamiento no acepta tráfico de la red pública y solo se llega a ella por un punto de conexión privado. Ningún contenedor es público y la cuenta no tiene claves de acceso compartidas, por lo que Onplana accede mediante una identidad administrada.
Cifrado en tránsito
Solo HTTPS entre su navegador y Onplana, y entre Onplana y el almacenamiento, con TLS 1.2 como mínimo.
Solo se abre desde la aplicación
Cada descarga pasa por la aplicación con sesión iniciada, que comprueba que el archivo pertenece a su organización. Un archivo de proyecto exige además acceso a ese proyecto, y una carpeta restringida solo se abre para las personas con las que se comparte. No hay enlace público a un archivo almacenado.
Comprobado al entrar
El tipo real del archivo se lee de su contenido y se compara con una lista permitida, con los ejecutables excluidos. Hasta 100 MB por archivo, dentro del almacenamiento de su plan.
Versiones y papelera de reciclaje
Cada documento conserva su historial de versiones, en todos los planes. Un archivo eliminado va a la papelera con su contenido, durante 30 días de forma predeterminada y seis años con los perfiles de retención HIPAA y FINRA.
Compartir fuera de su organización
Un destinatario externo abre un archivo compartido con un código de seis dígitos que recibe por correo, válido durante 15 minutos. Solo los remitentes verificados pueden compartir, los envíos tienen un límite por hora y quien comparte puede revocar el acceso en cualquier momento. Owners y Admins pueden dar a los enlaces una caducidad predeterminada, y desde el plan Professional el Owner puede impedir que cualquier otro rol comparta archivos fuera de la organización.
Los archivos de Office se quedan en Onplana
Los archivos de Word, Excel y PowerPoint que se editan en el navegador se abren en el servicio de edición propio de Onplana, en el entorno de Azure de Onplana, no en un editor externo.
En el registro de auditoría
Las subidas, las descargas (un archivo abierto en la aplicación o leído por un agente), las restauraciones de versión y los guardados desde el editor de Office del navegador quedan en el registro de auditoría, igual que las eliminaciones, las comparticiones y revocaciones, los adjuntos de tareas añadidos y quitados y las restauraciones de la papelera (desde el plan Enterprise). Cada entrada indica el cliente de origen, como la aplicación web o un agente por MCP, y las descargas repetidas del mismo archivo por una persona en una hora forman una sola entrada.
Los detalles, paso a paso: Cómo se protegen sus archivos (en inglés).
Funciones de seguridad para empresas
Los planes Enterprise y Enterprise+ incluyen funciones de seguridad adicionales para organizaciones con requisitos de cumplimiento estrictos:
Guías de configuración para Microsoft Entra: Configurar SSO con SAML (en inglés) · Configurar el aprovisionamiento SCIM (en inglés). La configuración equivalente es posible con Okta, OneLogin, JumpCloud, Ping y cualquier proveedor de identidad RFC 7644 o SAML 2.0.
Credenciales OAuth y tokens de terceros
Todos los tokens OAuth de acceso y de actualización (de Google, Microsoft, Box, Dropbox y cualquier otro proveedor integrado) se cifran en reposo con AES-256-GCM antes de escribirse en nuestra base de datos. Las claves de cifrado se gestionan en Azure Key Vault y nunca se guardan junto a los datos cifrados. Al desconectar una integración, Onplana revoca de inmediato los tokens en el proveedor (si admite la revocación por token) y marca el registro de conexión como eliminado, que se purga después de 30 días.
Nuestras prácticas de seguridad
Desarrollo seguro
Las revisiones de código y las pruebas centradas en seguridad forman parte de cada ciclo de lanzamiento.
Respuesta a incidentes
Procedimientos documentados de respuesta a incidentes con niveles de gravedad y vías de escalado definidos.
Gestión de dependencias
Supervisión automática de vulnerabilidades conocidas en dependencias de terceros.
Acceso mínimo
El acceso interno a los sistemas de producción sigue el principio de mínimo privilegio, con MFA obligatoria.
Tratamiento de datos
Políticas estrictas de acceso, retención y eliminación de datos. Ningún dato de clientes en equipos de desarrollo.
La revisión de seguridad, respondida
Las preguntas de un cuestionario de seguridad para proveedores, con nuestras respuestas y la página de la que sale cada una. El tratamiento de datos de IA va primero.
Tratamiento de datos de IA
- ¿Qué proveedores de IA usa Onplana?
- La API Claude de Anthropic y el servicio Azure OpenAI de Microsoft. Onplana opera ambos y decide cuál atiende las solicitudes, con el otro en reserva, por ejemplo para conmutar durante una interrupción del proveedor. Fuente: Subencargados (en inglés)
- ¿Dónde se procesan las solicitudes de IA?
- Anthropic en Estados Unidos. Azure OpenAI en el entorno propio de Azure OpenAI de Onplana en Azure East US 2 (Estados Unidos), sin compartir datos con OpenAI Inc. Fuente: Subencargados (en inglés)
- ¿Qué datos se envían al proveedor de IA?
- Texto de proyectos, descripciones de tareas y cualquier texto libre que se pase a una función de IA, cuando alguien usa una: detección de riesgos, generación de planes, informes de estado y el chat de la aplicación. Fuente: Subencargados (en inglés)
- ¿Se usan nuestros datos para entrenar modelos de IA?
- No. Los datos de proyecto enviados a un proveedor de IA solo se usan para generar la respuesta a esa solicitud, y ningún dato de clientes ni contenido de conversaciones se usa para entrenar modelos de IA. Fuente: Política de privacidad, sección 3 (en inglés)
- ¿Guarda el proveedor de IA nuestras instrucciones?
- El procesamiento de IA ocurre en tiempo real y los proveedores no conservan los datos más allá de la duración de la solicitud. Según la política de Anthropic, las entradas de la API no se usan para entrenar y no se almacenan tras completarse la solicitud. Fuente: Política de privacidad, sección 3 (en inglés)
- ¿Podemos usar nuestro propio proveedor de IA o clave de API?
- No. Onplana opera los dos proveedores de IA y guarda sus credenciales, no existe un proveedor de IA aportado por el cliente. Fuente: Política de privacidad, sección 3 (en inglés)
- ¿Se pueden desactivar las funciones de IA?
- Sí. Las funciones de IA se pueden desactivar en cualquier momento sin afectar a la plataforma principal. Fuente: Política de privacidad, sección 3 (en inglés)
- ¿Alguien en Onplana lee nuestras conversaciones con la IA?
- En un plan de pago, no. En los planes gratuitos, las conversaciones con el asistente de IA de la aplicación pueden pasar por una revisión automática de malas respuestas y abusos. Si detecta un problema, un miembro del equipo de Onplana con derechos de administrador de la plataforma puede ver el fragmento, y cada lectura queda en un registro de auditoría interno. Fuente: Política de privacidad, sección 3 (en inglés)
- ¿Qué funciones de IA incluye cada plan?
- El chat de IA con contexto de proyecto está disponible en todos los planes, incluido el gratuito; la detección de riesgos con IA, desde el plan Professional. Todo uso de IA está sujeto a la asignación de tokens de IA del plan. Fuente: Precios
Alojamiento y ubicación de los datos
- ¿Dónde se aloja Onplana?
- En Microsoft Azure, en West US (Estados Unidos): Container Apps, Postgres Flexible Server, Redis, Blob Storage y Key Vault. Fuente: Subencargados (en inglés)
- ¿Onplana es multiinquilino y cómo se separan los inquilinos?
- Sí. Cada consulta se limita a la organización a la que pertenece y se comprueba de nuevo en el middleware de la solicitud, de modo que las organizaciones nunca ven los datos de otras. Fuente: Recurso de apoyo DPIA (en inglés)
- ¿Pueden quedarse nuestros datos en la región o suscripción que elijamos?
- El servicio gestionado funciona en una sola región. Para la residencia de datos, Enterprise+ es un despliegue dedicado que Onplana configura y opera en su propia suscripción de Azure, donde también residen las claves de cifrado. Fuente: Seguridad
- ¿Tenemos que instalar algo?
- No. Onplana es un servicio alojado que se usa mediante la aplicación web, la API REST y un servidor MCP para agentes de IA, con aplicaciones opcionales de escritorio, teléfono y navegador que solo hablan con los servicios de Onplana. Fuente: Recurso de apoyo DPIA (en inglés)
Cifrado
- ¿Se cifran los datos en tránsito?
- Sí. TLS 1.2 o posterior en cada conexión, HTTPS obligatorio en todos los puntos de conexión y conexiones cifradas a la base de datos. Fuente: Seguridad
- ¿Se cifran los datos en reposo?
- Sí. AES-256 en reposo en Postgres, Blob Storage y Key Vault. Fuente: Recurso de apoyo DPIA (en inglés)
- ¿Cómo se protegen los archivos almacenados?
- Los archivos se guardan en Azure Blob Storage en West US, cifrados en reposo y replicados en East US. La cuenta de almacenamiento no acepta tráfico de la red pública, se alcanza por un punto de conexión privado, no tiene contenedores públicos ni claves de acceso compartidas, y cada descarga pasa por la aplicación con sesión iniciada. Fuente: Seguridad, Sus documentos
- ¿Cómo se guardan los tokens de los servicios conectados?
- Los tokens OAuth de acceso y actualización de Google, Microsoft, Box, Dropbox y otros proveedores se cifran con AES-256-GCM antes de escribirse, con las claves en Azure Key Vault. Al desconectar, se revocan en el proveedor si lo admite, y el registro se purga después de 30 días. Fuente: Seguridad
Identidad y acceso
- ¿Admiten inicio de sesión único?
- Sí, SAML 2.0 y OIDC con comprobación de dominio verificado, desde el plan Enterprise. Hay guías de configuración para Microsoft Entra y funciona cualquier proveedor de identidad SAML 2.0. Fuente: Seguridad
- ¿Admiten aprovisionamiento SCIM?
- Sí, SCIM 2.0 con desactivación por inquilino y cambios auditados, desde el plan Enterprise. Fuente: Seguridad
- ¿Hay autenticación multifactor?
- Sí. Autenticación en dos pasos TOTP con 10 códigos de respaldo de un solo uso, en todos los planes, incluido el gratuito. El Owner o un Admin de la organización puede restablecer la autenticación en dos pasos de un miembro. Fuente: Seguridad
- ¿Se puede limitar el acceso a nuestra red?
- Sí, con la lista de IP permitidas, desde el plan Enterprise. Fuente: Seguridad
- ¿Cómo se controlan los roles y permisos?
- Cinco roles integrados, la matriz de permisos desde el plan Professional y los roles personalizados desde el plan Business. Solo un Owner puede editar la matriz, el último Owner no se puede degradar y un Admin no puede restablecer la autenticación en dos pasos de un Owner. Fuente: Seguridad
- ¿Cómo se gestionan las sesiones?
- Versionado de tokens con cierre de sesión global y un registro de sesiones que aplica tiempos de espera por inactividad. Fuente: Recurso de apoyo DPIA (en inglés)
- ¿Cómo se evita el inicio de sesión por fuerza bruta?
- Los intentos fallidos repetidos activan un bloqueo, y las rutas de inicio de sesión, OAuth, IA y SCIM tienen sus propios límites. Fuente: Seguridad
Registro y supervisión
- ¿Hay un registro de auditoría y podemos exportarlo?
- Sí, desde el plan Enterprise: un registro de auditoría de solo anexado con los valores de antes y después de cada cambio, exportable en CSV o JSON con filtros e intervalo de tiempo. Fuente: Seguridad
- ¿Se registran los eventos de seguridad?
- Sí. Un flujo de eventos de seguridad registra inicios de sesión, cambios de contraseña, cambios de autenticación en dos pasos y actividad SCIM, y una revisión de accesos muestra el estado de dos pasos de cada miembro, su último inicio de sesión y si está inactivo. Fuente: Seguridad
- ¿Se registra el acceso a archivos?
- Sí, desde el plan Enterprise. Las subidas, las descargas (incluido un archivo leído por un agente), las restauraciones de versión, los guardados de Office en el navegador, las eliminaciones, las comparticiones y revocaciones están en el registro de auditoría, cada uno con el cliente de origen. Fuente: Seguridad, Sus documentos
Retención, eliminación y copias de seguridad
- ¿Podemos fijar cuánto tiempo se conservan los datos?
- Sí. Seis perfiles de retención (Standard, GDPR, HIPAA, FINRA, SOC 2 y Custom), con el más estricto aplicado a quien pertenece a varias organizaciones, ejecutados por un proceso diario de purga. Fuente: Seguridad
- ¿Qué ocurre con los elementos eliminados?
- Van a una papelera de reciclaje y se pueden recuperar durante 30 días de forma predeterminada; con los perfiles HIPAA y FINRA, un archivo eliminado se conserva seis años. Fuente: Seguridad, Sus documentos
- ¿Podemos exportar nuestros datos?
- Sí, en cualquier momento y sin ataduras. Cada persona también puede exportar sus propios datos desde Configuración, Privacidad y datos. Fuente: Recurso de apoyo DPIA (en inglés)
- ¿Cómo se elimina la cuenta de una persona?
- La eliminación de autoservicio tiene un periodo de gracia de 7 días que la persona puede cancelar. Después, los datos se anonimizan en su sitio y los elimina el proceso diario de purga. Fuente: Recurso de apoyo DPIA (en inglés)
- ¿Cómo se hacen las copias de seguridad?
- Copias diarias cifradas con restauración a un momento dado durante 7 días en Azure Postgres Flexible Server. Los archivos almacenados conservan su historial de versiones y se replican en una segunda región (East US). Fuente: Subencargados (en inglés)
Subencargados y contratos
- ¿Qué subencargados tratan nuestros datos?
- Principales: Microsoft Azure, Stripe, Anthropic, Azure OpenAI, Sentry, Azure Communication Services y hCaptcha. Los subencargados de integración, como Google, Box, Dropbox, GitHub y Jira, solo reciben datos cuando su organización los conecta. Los cambios importantes se notifican con antelación. Fuente: Subencargados (en inglés)
- ¿Firman un acuerdo de tratamiento de datos y cómo se cubren las transferencias internacionales?
- Sí. El acuerdo se envía a petición en un día hábil, con una contraparte firmada en cinco, y cubre las transferencias con las Cláusulas Contractuales Tipo de la UE, el anexo del Reino Unido y el anexo suizo cuando corresponden. Fuente: Acuerdo de tratamiento de datos (en inglés)
Operaciones de seguridad
- ¿Tienen un proceso de respuesta a incidentes?
- Sí. Procedimientos documentados de respuesta a incidentes con niveles de gravedad y vías de escalado definidos. La notificación de brechas se establece en el acuerdo de tratamiento de datos. Fuente: Seguridad
- ¿Cómo se gestionan las vulnerabilidades?
- Análisis periódico de vulnerabilidades, supervisión automática de dependencias de terceros y revisión de código con pruebas centradas en seguridad en cada lanzamiento. Fuente: Seguridad
- ¿Quién en Onplana puede llegar a producción?
- El acceso interno a producción sigue el mínimo privilegio con MFA obligatoria, y no se guardan datos de clientes en equipos de desarrollo. Fuente: Seguridad
- ¿Cómo informamos de una vulnerabilidad?
- Por correo a support@onplana.com. Fuente: Seguridad
- ¿Cómo se comprueban los archivos subidos?
- El tipo real del archivo se lee del contenido y se compara con una lista permitida, con los ejecutables excluidos, hasta 100 MB por archivo. Fuente: Seguridad, Sus documentos
- ¿Están firmados los webhooks salientes?
- Sí, con HMAC-SHA256, y los destinos de webhook están protegidos contra la falsificación de solicitudes del lado del servidor. Fuente: Seguridad
Cumplimiento
- ¿Tienen un informe SOC 2?
- Todavía no. SOC 2 está en nuestra hoja de ruta. Onplana se aloja en Microsoft Azure, un proveedor de nube que cumple SOC 2, y ofrece un perfil de retención SOC 2. Fuente: Seguridad
¿Falta aquí una pregunta de su revisión? Escriba a support@onplana.com, y el acuerdo de tratamiento de datos se solicita desde la página del acuerdo (en inglés).
¿Necesita Onplana en su propia suscripción de Azure? Vea cómo funciona Enterprise+.
Divulgación responsable
Si descubre una vulnerabilidad de seguridad en Onplana, infórmenos de forma responsable. Agradecemos su ayuda para mantener seguros nuestra plataforma y a nuestros usuarios.
support@onplana.com¿Preguntas sobre seguridad?
Empiece por la revisión de seguridad de arriba. Para lo que no cubra, con gusto respondemos a su cuestionario, facilitamos documentación o hablamos de sus requisitos de cumplimiento.
Para un inventario función por función, lea nuestro documento Security & Compliance Overview (en inglés).