Seguridad
Datos de personas, tratados con el cuidado que merecen.
PrismaHR maneja lo más sensible de una empresa: quién es su gente, qué sabe hacer y cómo se la evalúa. La privacidad y la seguridad no son un módulo: están en cómo está construido el sistema.
Última actualización: octubre de 2026.
Privacidad desde el diseño
Cumplimos el RGPD y seguimos las guías de la AEPD desde el diseño, no como una capa añadida: minimización de datos, finalidad explícita y derechos de las personas (acceso, rectificación, supresión y portabilidad) atendibles desde el sistema. Recogemos lo que hace falta para la gestión de personas, y nada más.
Dónde están tus datos
Los datos de tu organización se almacenan en la Unión Europea: la base de datos, la autenticación y los archivos, en Fráncfort. La aplicación también se ejecuta en Fráncfort, y solo el contenido estático, sin datos tuyos, se distribuye desde una red global. Las funciones de IA se ejecutan con un proveedor estadounidense, siempre con las garantías del RGPD y sin que tus datos se usen para entrenar modelos. Lo explicamos proveedor a proveedor en la política de privacidad.
Sobre infraestructura certificada
PrismaHR funciona sobre proveedores que tienen sus sistemas de seguridad auditados por terceros independientes:
| Proveedor | Para qué lo usamos | Certificaciones del proveedor |
|---|---|---|
| Supabase | Base de datos, autenticación y archivos (Unión Europea) | ISO 27001 · SOC 2 Type II |
| Vercel | Alojamiento y ejecución de la aplicación (Unión Europea, Fráncfort) | ISO 27001 · SOC 2 Type II · PCI DSS · TISAX |
| Anthropic | Modelos de IA que generan las propuestas | ISO 27001 · ISO/IEC 42001 (gestión de sistemas de IA) · SOC 2 Type II |
| Sentry | Registro de errores (Unión Europea) | ISO 27001 · SOC 2 Type II |
| Resend | Correo transaccional y avisos | SOC 2 Type II |
| Lleida.net | Sello de tiempo del registro probatorio | ISO 27001 |
Cada proveedor publica sus certificados e informes en su propio portal de confianza. Sobre esa infraestructura auditada, PrismaHR añade sus propias capas de protección, que te contamos a continuación. Qué datos trata cada uno, en la política de privacidad.
Quién ve qué
El acceso está segmentado por rol y aplicado en la base de datos (seguridad a nivel de fila), no solo en la pantalla. Quien dirige un equipo lo ve; RR. HH. ve lo que su función requiere; cada persona ve lo suyo. Las categorías más sensibles, como la salud y la retribución, están separadas y protegidas: ver una no implica ver las otras. Y cada organización está aislada de las demás.
Lo registrado no se reescribe
Los documentos con valor de prueba (entregas de EPI, actas, turnos cerrados) quedan en un registro que no se puede modificar y se sellan con un sello de tiempo RFC 3161, comprobable sin depender de PrismaHR, de un prestador español. Al prestador solo le llega una huella criptográfica, nunca el documento. Cualquier tercero puede comprobar después que nadie lo ha tocado, sin acceder a PrismaHR.
Medidas técnicas
- Cifrado de las comunicaciones en tránsito.
- Contraseñas gestionadas por el proveedor de autenticación, nunca almacenadas en claro.
- Credenciales y accesos internos con el principio de mínimo privilegio.
- Verificación en dos pasos para cada persona, con el código de una aplicación de autenticación.
- Inicio de sesión con la cuenta de tu empresa (Microsoft, Google u Okta), en el plan Dirigir.
- Registro de errores en la Unión Europea, limitando los datos personales que llegan a él.
- Notificación de brechas de seguridad en los plazos y condiciones que marca la normativa.
Probado como lo haría un atacante
Construir bien no basta para proteger datos de personas: hay que comprobar que aguanta cuando alguien intenta entrar. Esto es lo que protegemos y que lo probamos.
- Pruebas automáticas. Cada cambio pasa por pruebas automáticas, también de seguridad, antes de publicarse.
- Una revisión de ataque de toda la aplicación. Antes de cada versión, la aplicación entera se revisa como lo haría alguien de fuera que intenta entrar.
- Una segunda revisión de quién ve qué. Cada novedad que cambia quién puede ver qué la revisa, antes de publicarse, una revisión independiente de quien la construyó.
- Cada empresa, aislada de las demás. El aislamiento está en la propia base de datos, no solo en la pantalla, y lo comprobamos con cuentas de dos empresas distintas.
- Cifras que no señalan a nadie. En los informes de ausencias y de registro horario, en la equidad retributiva y en Estrategia, un grupo demasiado pequeño no enseña su cifra, para que ningún número deje a una persona a la vista.
- Canal de denuncias. Puedes comunicar sin identificarte, y el canal no registra ni tu dirección de conexión ni tu navegador. Nada de lo que ocurre en él se envía a servicios externos de seguimiento de errores.
IA con una persona al mando
En decisiones sobre personas, la IA propone y tú decides: aceptar, ajustar o descartar. La IA nunca decide por su cuenta, cada propuesta se abre a su origen y lo generado por IA siempre se distingue. El detalle, en Regulación de la IA.
Cumplimiento español
Construido sobre la normativa de aquí: registro horario, control de vigencia de carnés y certificados, registro retributivo y brecha salarial, y canal de denuncias de la Ley 2/2023. Pensado para el marco español y europeo, no traducido de otro país.