Seguridad de la información
Certificado ISO/IEC 27001:2022
Certificados desde 2019, actualmente en nuestro tercer ciclo de certificación, por un organismo de certificación con sede en el Reino Unido y acreditado por UKAS. El certificado se publica abajo íntegramente — compruébelo.
- Norma: ISO/IEC 27001:2022
- Certificador acreditado por UKAS
- Vigente de forma continua desde 2019
El certificado, en detalle
Todo lo que figura en esta página está tomado del propio certificado, de modo que puede verificarse con la copia de abajo o directamente con el organismo de certificación.
| Campo | Valor |
|---|---|
| Organización certificada | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Eslovenia |
| Norma | ISO/IEC 27001:2022 — la revisión vigente de la norma |
| Alcance | Diseño, desarrollo, implementación y mantenimiento de soluciones de software |
| Declaración de aplicabilidad | Versión 3.0, con fecha 1 de diciembre de 2024 |
| Número de certificado | 202124/A/0001/UK/En |
| Organismo de certificación | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Reino Unido |
| Acreditación | UKAS Management Systems, número de acreditación 0043; URS es miembro del Acuerdo de Reconocimiento Multilateral de la IAF |
| Emitido originalmente | 28 de marzo de 2019 |
| Ciclo actual emitido | 28 de marzo de 2025 (emisión 3, ciclo 3) |
| Válido hasta | 27 de marzo de 2028 |
Por qué la acreditación importa más que el sello
Cualquiera puede imprimir un certificado. La pregunta que debe hacer una oficina de compras es quién acreditó al organismo que lo emitió.
El nuestro lo emitió URS, un organismo de certificación con sede en Bournemouth, en el Reino Unido, acreditado por UKAS — el United Kingdom Accreditation Service, el organismo nacional de acreditación reconocido por el gobierno británico. El número de acreditación UKAS 0043 aparece en el propio certificado.
URS es también miembro del Acuerdo de Reconocimiento Multilateral de la IAF, que es lo que hace que el certificado signifique lo mismo para una universidad de Riad, Kuala Lumpur o Dublín que en Londres. Un certificado no acreditado no tiene nada de eso.
También conviene comprobar qué versión de la norma tiene un proveedor. La nuestra es ISO/IEC 27001:2022, la revisión vigente. Todavía circulan certificados contra la edición de 2013, ya sustituida.
- Emitido por un organismo de certificación con sede en el Reino Unido, no por un registrador sin acreditar
- Acreditado por UKAS, número de acreditación 0043
- Miembro del Acuerdo de Reconocimiento Multilateral de la IAF, por lo que se reconoce internacionalmente
- Certificado contra ISO/IEC 27001:2022, no contra la edición de 2013, ya sustituida
- Vigente de forma continua desde marzo de 2019, a lo largo de tres ciclos de certificación
- El alcance abarca explícitamente el diseño, desarrollo, implementación y mantenimiento de software — el producto mismo, no solo una oficina
A qué nos compromete realmente la certificación
ISO/IEC 27001 no es una característica del producto y no la presentaremos como tal. Certifica un sistema de gestión: un enfoque estructurado y basado en riesgos para la seguridad de la información que abarca personas, procesos y tecnología, auditado por un organismo externo en un ciclo recurrente en lugar de declarado una sola vez.
En la práctica, para una institución que nos evalúa, significa que existe una declaración de aplicabilidad documentada, que los riesgos se evalúan y tratan en un ciclo definido, que el acceso y los cambios están controlados y que un auditor independiente comprueba todo ello contra una norma publicada.
- Cifrado de la información sensible en almacenamiento y en tránsito
- Copias de seguridad periódicas, con restauraciones probadas y no supuestas
- Controles de acceso estrictos que limitan la exposición a lo que requiere cada función
- Respuesta a incidentes y gestión de cambios documentadas
- Auditorías anuales de seguimiento, con recertificación completa cada tres años
Datos personales, y la ley que los rige
Un horario no es un conjunto de datos abstracto. Dice dónde está un estudiante con nombre y apellido a las nueve del martes y con qué docente. Eso son datos personales y, en algunas combinaciones, sensibles.
Tenemos sede en Eslovenia, dentro de la Unión Europea, por lo que el Reglamento General de Protección de Datos se nos aplica directamente y no como una obligación de exportación que hayamos elegido respetar. El cumplimiento del RGPD está incluido en lo que usted compra; no es un módulo de pago y no existe un nivel de cumplimiento aparte.
En el lenguaje del reglamento, su institución es el responsable del tratamiento y Wise Technologies es un encargado del tratamiento. Esa distinción importa: los datos siguen siendo suyos, los tratamos solo según sus instrucciones documentadas y no les damos otro uso. No vendemos ni alquilamos datos personales, no usamos los datos de su institución para entrenar nada y no los explotamos para nuestros propios análisis.
También procuramos conservar menos datos desde el principio. Un sistema de horarios no necesita el domicilio de un estudiante, y pedir campos que nunca usaremos sería una responsabilidad para ambos. Cuando una institución pueda enviarnos identificadores de grupo en lugar de personas con nombre, preferimos que lo haga.
- Hay disponible un Acuerdo de Encargo del Tratamiento y firmaremos el suyo si prefiere su propia redacción
- Los datos personales no se transfieren fuera del Espacio Económico Europeo salvo que existan garantías adecuadas, como las cláusulas contractuales tipo de la UE
- Los subencargados son limitados, se comunican a solicitud y están sujetos a obligaciones equivalentes
- Se admiten los derechos de los interesados — acceso, rectificación, supresión, limitación, portabilidad, oposición — y le ayudamos a responder las solicitudes como su encargado del tratamiento
- La conservación está definida y no es indefinida: los datos de la cuenta durante la vigencia de la suscripción, los datos de horarios importados mientras utilice el servicio
- Las obligaciones de notificación de brechas son contractuales, no discrecionales
- Despliegue completo en sus propias instalaciones donde la política o la ley nacional exijan que los datos nunca salgan de su red
Más allá del RGPD
Las instituciones de fuera de la Unión Europea traen sus propias obligaciones, y preferimos hablar de ellas pronto que descubrirlas tarde. Las instituciones del Golfo trabajan cada vez más bajo leyes nacionales de protección de datos con requisitos de residencia; las instituciones de Estados Unidos plantean FERPA; varios de nuestros clientes responden además ante reguladores sectoriales.
No afirmamos tener una certificación general contra todos los regímenes, porque esa afirmación no sería honesta. Lo que sí podemos decir es que la opción de instalación propia cumple por completo los requisitos de residencia, que nuestras condiciones contractuales pueden adaptarse y que le diremos con claridad si algo que necesita queda fuera de lo que podemos asumir.
Lea la Política de privacidad para ver en detalle cómo tratamos los datos personales, y los Términos y condiciones para conocer la posición contractual.
El certificado
Reproducido íntegramente. El PDF firmado está enlazado arriba y abajo.
Dónde viven sus datos sigue siendo decisión suya
La certificación rige cómo trabajamos; no le obliga a alojar nada con nosotros. El alojamiento en la nube funciona en AWS con copias de seguridad diarias e infraestructura distribuida regionalmente, y la instalación completa en sus propias instalaciones es una alternativa admitida, con idéntica funcionalidad, soporte y condiciones de actualización.
Para las instituciones de jurisdicciones con normas de residencia de datos, la instalación propia mantiene cada registro dentro de su propia red. Más sobre alojamiento y despliegue.
Preguntas que hace el área de compras
¿Completarán nuestro cuestionario de seguridad de la información?
Sí, y estamos acostumbrados. Envíelo con su plazo y lo devolveremos; preferimos responder cuarenta preguntas antes de un contrato que descubrir una discrepancia después.
Si necesita el certificado, la referencia de la declaración de aplicabilidad o una confirmación directa del organismo de certificación, pídalo y lo gestionaremos.
¿Podemos verificar el certificado de forma independiente?
Por favor, hágalo. El número de certificado es 202124/A/0001/UK/En y el organismo emisor es URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Reino Unido. URS publica en el propio certificado los datos de contacto para comprobar su autenticidad.
UKAS mantiene además un registro público de los organismos que acredita, donde URS figura con el número de acreditación 0043.
¿Es el alcance lo bastante amplio para cubrir el software que compraríamos?
Sí. El alcance certificado es «Diseño, desarrollo, implementación y mantenimiento de soluciones de software», que abarca cómo se construye, despliega y respalda Wise Timetable — no solo cómo se gestiona nuestra oficina. Los alcances estrechos limitados a una sede central son algo que se suele comprobar, y que conviene comprobar con cada proveedor.
¿Qué ocurre si debemos mantener los datos dentro de nuestro país?
Instalamos por completo en su propia infraestructura. Es una opción de despliegue estándar, con la misma funcionalidad, soporte y condiciones de actualización que el alojamiento en la nube, y no una excepción a regañadientes.
¿Está realizando una revisión de seguridad?
Envíenos el cuestionario y el plazo. Lo completaremos como corresponde y le diremos con claridad lo que no podamos cumplir.