Seguridad
Datos de personas, tratados con el cuidado que merecen.
PrismaHR maneja lo más sensible de una empresa: quién es su gente, qué sabe hacer y cómo se la evalúa. La privacidad y la seguridad no son un módulo: están en cómo está construido el sistema.
Última actualización: septiembre de 2026.
Privacidad desde el diseño
Cumplimos el RGPD y seguimos las guías de la AEPD desde el diseño, no como una capa añadida: minimización de datos, finalidad explícita y derechos de las personas (acceso, rectificación, supresión y portabilidad) atendibles desde el sistema. Recogemos lo que hace falta para la gestión de personas, y nada más.
Dónde están tus datos
Los datos de tu organización se almacenan en la Unión Europea: la base de datos, la autenticación y los archivos, en Fráncfort. La aplicación también se ejecuta en Fráncfort, y solo el contenido estático, sin datos tuyos, se distribuye desde una red global. Las funciones de IA se ejecutan con un proveedor estadounidense, siempre con las garantías del RGPD y sin que tus datos se usen para entrenar modelos. Lo explicamos proveedor a proveedor en la política de privacidad.
Sobre infraestructura certificada
PrismaHR funciona sobre proveedores que tienen sus sistemas de seguridad auditados por terceros independientes:
| Proveedor | Para qué lo usamos | Certificaciones del proveedor |
|---|---|---|
| Supabase | Base de datos, autenticación y archivos (Unión Europea) | ISO 27001 · SOC 2 Type II |
| Vercel | Alojamiento y ejecución de la aplicación (Unión Europea, Fráncfort) | ISO 27001 · SOC 2 Type II · PCI DSS · TISAX |
| Anthropic | Modelos de IA que generan las propuestas | ISO 27001 · ISO/IEC 42001 (gestión de sistemas de IA) · SOC 2 Type II |
| Sentry | Registro de errores (Unión Europea) | ISO 27001 · SOC 2 Type II |
| Resend | Correo transaccional y avisos | SOC 2 Type II |
| Lleida.net | Sello de tiempo del registro probatorio | ISO 27001 |
Estas certificaciones son de nuestros proveedores y cubren su infraestructura, no a PrismaHR como organización. Cada uno pone sus certificados e informes a disposición en su propio portal de confianza, y el detalle de qué datos trata cada uno está en la política de privacidad.
Quién ve qué
El acceso está segmentado por rol y aplicado en la base de datos (seguridad a nivel de fila), no solo en la pantalla. Un mánager ve a su equipo; RR. HH. ve lo que su función requiere; cada persona ve lo suyo. Las categorías más sensibles, como la salud y la retribución, están separadas y protegidas: ver una no implica ver las otras. Y cada organización está aislada de las demás.
Lo registrado no se reescribe
Los documentos con valor de prueba (entregas de EPI, actas, turnos cerrados) quedan en un registro que no se puede modificar y se sellan con un sello de tiempo RFC 3161, verificable con openssl sin depender de PrismaHR, de un prestador español. Al prestador solo le llega una huella criptográfica, nunca el documento. Cualquier tercero puede comprobar después que nadie lo ha tocado, sin acceder a PrismaHR.
Medidas técnicas
- Cifrado de las comunicaciones en tránsito.
- Contraseñas gestionadas por el proveedor de autenticación, nunca almacenadas en claro.
- Credenciales y accesos internos con el principio de mínimo privilegio.
- Registro de errores en la Unión Europea, limitando los datos personales que llegan a él.
- Notificación de brechas de seguridad en los plazos y condiciones que marca la normativa.
IA con una persona al mando
En decisiones sobre personas, la IA propone y tú decides: aceptar, ajustar o descartar. Nada se ejecuta solo, cada propuesta se abre a su origen y lo generado por IA siempre se distingue. El detalle, en Regulación de la IA.
Cumplimiento español
Construido sobre la normativa de aquí: registro horario, control de vigencia de carnés y certificados, registro retributivo y brecha salarial, y canal de denuncias de la Ley 2/2023. Pensado para el marco español y europeo, no traducido de otro país.