Tu DPO y tu auditor van a preguntar dónde está cada cosa y qué está certificado. Esta página responde con el matiz completo, incluido el proveedor estadounidense que está en la ruta de la petición.
Hechos de la plataforma, sin cifras de disponibilidad ni sellos.
La infraestructura y los datos se alojan en la UE. Cloudflare, de EE. UU., está en la ruta de cada petición. Las dos cosas son ciertas a la vez.
Ruta de una petición
Tu organización
Navegador, CLI o agente de endpoint
Origen de la petición
Cloudflare
DNS, CDN y TLS
Empresa de EE. UU.
OVH
Aplicación, base de datos y almacenamiento gestionados
Gravelines, Francia (UE)
La aplicación, la base de datos y el almacenamiento de objetos, en OVH Gravelines. La IA del copiloto la presta Mistral AI; no declaramos su región de tratamiento.
Docs · Subencargados (se abre en una pestaña nueva)No decimos que ningún dato toque infraestructura de EE. UU. ni que la plataforma esté libre de proveedores estadounidenses: Cloudflare está en la ruta. Si eso condiciona tu análisis de riesgo, pregúntanoslo antes de la demo.
Controles que la consola implementa hoy, explicados por lo que garantizan. El nombre técnico exacto está en cada «Detalle técnico». El marco de referencia es OWASP ASVS: la plataforma está alineada con él, no certificada.
Quién entra y con qué garantías.
Alcance: Exigirlo es una decisión de tu administrador: no viene impuesto.
Las credenciales de integración y los secretos del doble factor se guardan cifrados.
Cada cliente solo ve sus propios datos: el aislamiento lo aplica la propia base de datos, no solo la aplicación.
Un registro de auditoría inmutable de la actividad de la plataforma y un registro de las acciones de ACT que dice quién hizo cada cosa.
Alcance: Las firmas poscuánticas (ML-DSA-65) protegen atestaciones y el registro de acciones. No cifran el tráfico en vivo.
El copiloto envía contenido a un proveedor de IA. Estos son los límites exactos de ese tratamiento.
Mistral AI SAS (París) a través de su API de pago.
Antes de enviar, HodeiShield sustituye por marcadores los datos personales que reconoce.
Alcance: Los nombres de personas que no son usuarios ni contactos de proveedor de tu organización no se reconocen y se envían tal cual. El propio contenido (por ejemplo, el nombre de un proveedor) puede describir tu negocio. Se aplica a HodeiAI y al CISO virtual. El análisis de riesgo de los escaneos de proveedores no seudonimiza: envía el dominio del proveedor y los hallazgos. Esa llamada solo se hace si HodeiAI está activado para tu organización.
Las conversaciones se conservan como máximo 90 días y después se borran automáticamente.
Alcance: Consulta datos vivos de tu organización mediante herramientas; no es un sistema RAG.
Lo decimos tal cual para que no haya que adivinarlo en la auditoría.
Hodeitek tiene el sello, que expresa un origen europeo autodeclarado. No equivale a una certificación. Hodeitek también figura en el catálogo de INCIBE, que es un listado y no una acreditación.
Lo que alguien podría dar por hecho y no lo es.
Cloudflare, empresa estadounidense, atiende DNS, CDN y TLS en la ruta de la petición.
Las certificaciones ISO/IEC 27001 y ENS categoría Media de Hodeitek S.L. incluyen HodeiShield en su alcance, pero HodeiShield no certifica el cumplimiento de tu organización. La alineación con OWASP ASVS no es una certificación.
Es opcional por defecto. Lo activa o lo exige la política de tu organización.
Prueba integridad, origen y momento de lo firmado. No prueba que sea cierto y no existe un registro público de transparencia. Las claves de firma se guardan como secretos de la plataforma, no en un módulo de seguridad de hardware (HSM).
Seudonimiza lo que reconoce, y lo que no reconoce se envía como está escrito.
No publicamos un SLA ni métricas de disponibilidad en esta web.
Si crees haber encontrado una vulnerabilidad, escríbenos antes de hacerla pública.
Es el canal de Hodeitek para cuestiones de seguridad. No ofrecemos correo cifrado.
Acuse de recibo y primera valoración, en días hábiles; el resto de plazos, en días naturales. Los objetivos de corrección se refieren a publicar una versión corregida, contados desde la primera valoración. Son los plazos con los que trabajamos, no un SLA.
No ofrecemos recompensa económica. Si nos das permiso, te reconocemos públicamente.
Un índice de lo que puedes pedir o comprobar antes de contratar. Cada enlace lleva al texto vigente, no a un resumen.
Hodeitek S.L. está certificada en ISO/IEC 27001 y en el ENS, categoría Media (certificado nº 34/5704/26/09103), con el servicio SaaS HodeiShield en el alcance. Lo que no certificamos está en la misma sección.
Alcance, reglas y plazos orientativos, y el fichero security.txt (RFC 9116) para herramientas.
El sitio web y la consola tienen avisos distintos porque tratan datos distintos.
Las listas publicadas son las de los dos avisos anteriores, y cada una describe el ámbito de su propio documento. El anexo de subencargados para participantes de la beta está en revisión y se publicará junto con el contrato de encargo del tratamiento (DPA).
Una página pública muestra el estado actual del servicio. Es informativa: no es un SLA ni un compromiso de disponibilidad.
HodeiShield no tiene un portal de confianza público propio. El Trust Center es una función de la consola con la que cada cliente publica el suyo, y se gestiona desde la consola, con la sesión iniciada.
Las que más se repiten, con la respuesta que resiste una revisión.
La aplicación, la base de datos y el almacenamiento están en OVH Gravelines (Francia). Cloudflare, empresa de EE. UU., atiende DNS, CDN y TLS en la ruta de la petición, así que no podemos prometer que ningún dato toque infraestructura de EE. UU.
Sí. Hodeitek S.L. está certificada en ISO/IEC 27001 y en el ENS categoría Media (certificado nº 34/5704/26/09103, emitido por OCA Instituto de Certificación), con un alcance que incluye el servicio SaaS HodeiShield. Eso no certifica el cumplimiento de tu organización, y el catálogo CPSTIC es otra cosa que no reclamamos.
Que los controles de seguridad de la plataforma se han diseñado tomando ASVS como referencia. No es una certificación ni la emite un tercero.
Envía contenido a Mistral AI. Antes seudonimiza los datos personales que reconoce (correos, teléfonos, documentos, IBAN y nombres de tus usuarios y contactos), pero no los que no reconoce. El análisis de riesgo de los escaneos de proveedores no seudonimiza: envía el dominio del proveedor y los hallazgos. Un administrador puede apagarlo.
Escribe a security@hodeitek.com con la URL o el tenant afectado, los pasos para reproducirla, el impacto y un modo de contactarte. El alcance, las reglas y los plazos orientativos están en la sección de divulgación responsable de esta página.
Si tu análisis de riesgo necesita más detalle, lo vemos en la demo con quien tú digas.
Una conversación de trabajo, sin compromiso.
