Trust Center
Lo que la due diligence pregunta, ya respondido.
Toda venta a una empresa grande o regulada pasa por un cuestionario de proveedor. Esta página es la respuesta anticipada, escrita una vez y mantenida en línea, para que el ciclo comercial no gaste tres semanas repitiendo por correo lo que cabe en una página.
Actualizado en 09/2026
Las respuestas cortas
Cuatro preguntas, cuatro líneas.
- ¿Dónde queda el dato del cliente?
- Cada proveedor que trata dato de cliente consta abajo, con su país. Contrato, tratamiento de dato personal y foro siguen la ley brasileña.
- ¿Una organización puede ver a otra?
- No. El aislamiento corre como prueba automatizada en cada cambio, no como cláusula.
- ¿Qué hace la IA con el dato del cliente?
- Toda llamada pasa por un punto único, queda registrada y pide al proveedor que no retenga ni entrene con el contenido. Ninguna salida altera nota o número sin la aceptación de una persona.
- ¿Cuál es el calendario de certificaciones?
- Está publicado abajo, con el trimestre objetivo de cada una. La postura técnica que van a auditar ya está documentada en esta página.
01Residencia y soberanía
Dónde descansa el dato queda escrito.
Para una institución bajo CMN 5.274 y LGPD, la pregunta sobre dónde descansa el dato es de eliminación. La respuesta queda escrita aquí, proveedor por proveedor, y no bajo consulta en una reunión.
- Contrato, tratamiento de dato personal y foro bajo ley brasileña.
- Cada proveedor que trata dato de cliente consta en la lista de subprocesadores, con su país.
- La transferencia internacional, cuando exista, se declara con el proveedor, el país y el mecanismo legal.
02Aislamiento y acceso
Quién entra, cuándo y con qué rastro.
El aislamiento por organización es una regla que Indene no negocia, y su violación se trata como incidente grave. El acceso de nuestro equipo al ambiente de un cliente es excepción, no rutina.
- El aislamiento se aplica en la base de datos (row-level security), con pocas excepciones, todas nombradas y cubiertas por test.
- El acceso del equipo Indene es individual, con segundo factor obligatorio, y queda registrado en una traza inmutable de plataforma.
- La credencial de conector se guarda cifrada en reposo y nunca se muestra después de guardada.
03Traza y retención
Cinco años, porque la norma pide cinco años.
Nota, evidencia, decisión y exportación graban traza inmutable con autor, fecha y valor anterior. Es lo que permite responder a la fiscalización sin recolección manual, y por eso la retención no se negocia hacia abajo.
- Retención de traza y evidencia alineada a los cinco años de CMN 5.274 y BCB 538.
- La declaración de aplicabilidad sale por norma, con el origen de cada prueba.
- El dato personal fuera de la traza sigue la política de privacidad y el pedido del titular.
04Continuidad y reversibilidad
Qué pasa si Indene para.
Un proveedor nuevo tiene que responder la pregunta que a nadie le gusta hacer. La respuesta honesta hoy es un compromiso contractual, y está escrito antes de ser exigido.
- Exportación completa del dato de la organización, en formato abierto, en cualquier momento.
- Ventana de recuperación del dato exportable garantizada por contrato tras la terminación.
- Lo que sostiene el número es evidencia del cliente: salir de Indene no borra su prueba.
Subprocesadores
Quién más toca el dato.
Los terceros que tratan dato en nombre de Indene, para qué y dónde. Es la primera tabla que pide el jurídico del cliente y la que casi ningún proveedor publica antes de que se la exijan.
| Proveedor | Para qué | Dónde |
|---|---|---|
| Sitio y contacto comercial | ||
| Cloudflare | Alojamiento del sitio y del borde, protección contra ataque y log de acceso. | Brasil · borda global |
| OpenPanel | Métrica agregada de uso del sitio, sin cookie y sin identificación personal. | União Europeia |
| Twenty CRM | Registro de contacto comercial enviado por el formulario. | Brasil · instância própria |
| Operación interna de Indene | ||
| Cloudflare (R2) | Almacenamiento de los archivos enviados a la plataforma interna de Indene: documentos, comprobantes y currículums, incluidos los de las postulaciones hechas en este sitio.Datos: Documentos enviados, currículums y comprobantes de pago | Estados Unidos |
| OpenRouter | Enrutamiento de las llamadas del asistente de IA de la plataforma interna. El contenido enviado no lo almacena la plataforma ni se usa para entrenar modelos.Datos: Contenido enviado al asistente | Estados Unidos |
| Resend | Envío de correo transaccional: códigos de acceso, notificaciones y alertas del sistema.Datos: Nombre y dirección de correo | Estados Unidos |
La lista reúne los proveedores del sitio con los de la operación interna de Indene, que recibe, por ejemplo, el currículum enviado por las vacantes. Los proveedores del producto entran aquí, con país y finalidad, antes de que cualquier cliente trate datos reales en la plataforma. Los cambios en esta lista se comunican a los clientes antes de entrar en vigor.
Certificaciones y auditoría independiente
Calendario público, con fecha.
Cada certificación tiene trimestre objetivo y estado visible antes de estar concluida. El calendario queda público para poder ser exigido.
- Teste de intrusão por terceiroplanificada · objetivo Q2 2027
- ISO/IEC 27001planificada · objetivo Q4 2027
- SOC 2 Type IIplanificada · objetivo Q2 2028
- ISO 22301planificada · objetivo Q4 2028
La postura técnica que sostiene el proceso ya está publicada y puede verificarse hoy, antes de que entre ningún auditor.
Encargado de datos
Un canal, un equipo responsable.
La LGPD manda indicar al encargado y divulgar el canal de contacto. El canal de abajo recibe pedido de titular, cuestionario de proveedor y pedido de eliminación.
- Encargado (DPO)
- El equipo de privacidad de Indene
- dpo@indene.io
Due diligence
¿Necesita el paquete completo?
Cuestionario de proveedor respondido, política de seguridad de la información, plan de continuidad y el diseño de arquitectura. Lo enviamos en hasta dos días hábiles, bajo acuerdo de confidencialidad cuando su proceso lo exija.