Seguridad integrada en cada capa
Los datos de su plantilla están entre los más sensibles que maneja: nómina, ubicaciones y datos personales. Celtucom está construido para que la protección nunca dependa de un único control.
Sistemas de gestión certificados
Estas certificaciones las posee la empresa que desarrolla Celtucom: el proveedor que figura al pie de cada página.
ISO/IEC 27001:2022
Seguridad de la información
ISO 9001:2015
Gestión de la calidad
ISO 14001:2015
Gestión ambiental
Quién desarrolla Celtucom y de dónde viene se explica en sobre nosotros.
Aspectos destacados de seguridad
Alojamiento en la UE
Los datos de producción se alojan en la Unión Europea (Fráncfort, Alemania).
Cifrado
Todo el tráfico circula por TLS y los datos se cifran en reposo.
Control de acceso
Permisos granulares basados en roles, aplicados en la app y de nuevo en la base de datos.
Doble factor y biometría
Las cuentas admiten autenticación en dos pasos, con desbloqueo mediante Face ID y huella dactilar en el móvil.
Registros de auditoría
Los cambios sensibles quedan registrados, lo que da a los administradores un historial para las revisiones de cumplimiento.
Preparado para el RGPD
Se admiten la exportación y la eliminación de datos, y hay disponible un contrato de encargado del tratamiento.
Cuatro de esas afirmaciones, un nivel más abajo
Cada tarjeta de arriba hace una afirmación breve. Aquí se explica lo que significan esas afirmaciones en la práctica, limitado a lo que podemos mostrarle en el propio producto. El alojamiento en la UE y el cifrado se dejan fuera, porque proceden de la infraestructura sobre la que funciona Celtucom, no de la app.
Qué significa “aplicado de nuevo en la base de datos”
Una interfaz que oculta un botón es algo distinto de unos datos que nunca se sirven. Los roles de Celtucom los vuelve a comprobar la propia base de datos, fila por fila, de modo que un error en la interfaz no es una vía de entrada: que la pantalla no muestre la nómina de un compañero y que esa nómina nunca salga de la base de datos son dos promesas distintas.
- Las reglas a nivel de fila están en las tablas, no solo en la app
- Las filas de su organización son inaccesibles desde la sesión de otra organización
- Una función nueva hereda la restricción en lugar de tener que acordarse de ella
Un registro de auditoría que cubre las horas, no solo las cuentas
Registrar quién ha iniciado sesión es la parte fácil. La parte que importa en una herramienta de personal es el registro de tiempo: alguien cambió 7,5 por 8,5 y tres meses después la nómina quiere saber quién y cuándo. Los cambios en los registros de tiempo se anotan en el historial junto con los eventos de cuenta y de perfil.
- Cambios en los registros de tiempo, no solo en usuarios y roles
- Consultables como un historial en lugar de tener que buscarlos en una base de datos
- Los escribe la aplicación, por lo que una edición no puede saltárselo en silencio
Dos cerraduras, porque el móvil es el punto débil
Una app de personal vive en móviles personales, y los móviles se quedan olvidados en furgonetas y en barras de bar. La autenticación en dos pasos protege la cuenta; un bloqueo biométrico protege la sesión que ya está abierta en el dispositivo. Encontrar el móvil no es lo mismo que encontrar el cuadrante.
- Autenticación en dos pasos en la cuenta
- Face ID o huella dactilar para desbloquear la propia app
- La ubicación al fichar la entrada y la salida está activada por defecto; compartirla no es obligatorio
Qué pregunta a continuación una revisión de compras
Hay un contrato de encargado del tratamiento listo para firmar y publicado íntegramente. La lista de subencargados no se publica (es deliberado, porque una lista pública de todo lo que usa una plataforma es un mapa para otros), pero se comparte con los clientes y se adjunta al contrato firmado, y los cambios se anuncian con antelación.
- Contrato de encargado del tratamiento publicado, no enviado bajo petición
- Lista de subencargados compartida con los clientes, con aviso antes de cambiarla
- Exportación y eliminación de datos personales bajo petición
- Un archivo security.txt para notificar una vulnerabilidad
Documentación de seguridad
Para revisiones de compras y de cumplimiento normativo. ¿Tiene preguntas que no hemos respondido aquí? Con gusto profundizamos en la demo.
Dónde se cruza esto con el resto del producto
El control de acceso no es un módulo aparte añadido por encima: son los mismos roles los que deciden quién puede aprobar un registro de horas en el propio producto y quién puede enviar un periodo aprobado a su programa de nómina. Son los dos puntos en los que un error de permisos cuesta dinero y no solo vergüenza.
Nada de esto está detrás de un plan enterprise. Hay un solo plan, así que la autenticación en dos pasos, los registros de auditoría y el acceso por roles están incluidos en el precio que paga todo el mundo. La seguridad como venta adicional es una seguridad rara.
Vea Celtucom con su propio equipo
Reserve una presentación y le mostraremos cómo se adapta a la forma en que trabaja realmente su organización.