Confianza y cumplimiento

Dónde están tus datos

• En los Países Bajos. El almacenamiento, la transcodificación, el procesamiento de registros y las estadísticas funcionan en nuestra propia infraestructura en centros de datos neerlandeses.
• Operado desde los Países Bajos. El acceso de administración a producción se hace solo desde los Países Bajos, por nuestros propios empleados, con autenticación multifactor. Sin soporte «follow-the-sun», sin centro de soporte ni subcontratista fuera del EEE.
• Sin transferencias fuera del EEE. Los espectadores de todo el mundo reciben una imagen rápida a través de nuestra CDN europea, mientras tus datos se quedan bajo derecho europeo.
• Cifrado. Transporte y almacenamiento cifrados, con entornos de producción y de pruebas separados.

Dos subencargados. Nada más.

La mayoría de las plataformas de vídeo dependen de una larga cadena de socios de nube, analítica y publicidad. StreamZilla trabaja exactamente con dos, ambos europeos:

• Leaseweb (Países Bajos): centro de datos y alojamiento. Leaseweb no tiene acceso a tus datos.
• BunnyCDN (red europea de distribución de contenidos): almacenamiento temporal en caché de fragmentos de contenido y metadatos, y registros de acceso temporales, para que tus vídeos arranquen rápido en todas partes.

Sin rastreadores, sin redes publicitarias, sin nube estadounidense. Informamos a nuestros clientes al menos 30 días antes de que un nuevo subencargado trate datos personales.

Contrato de encargo del tratamiento

Para los datos personales que tratamos por tu cuenta, StreamZilla es encargado del tratamiento según el RGPD. Cada cliente recibe un contrato de encargo. En resumen:

• Tratamos los datos solo siguiendo tus instrucciones, nunca para fines propios.
• Los registros de acceso se borran automáticamente a los 30 días.
• Tú fijas los plazos de conservación por cuenta y por colección; el borrado se aplica a originales, flujos, transcripciones, subtítulos y metadatos.
• Al terminar el contrato eliges: tus datos devueltos en formatos abiertos, borrados o ambas cosas.
• Te notificamos una brecha de datos en 48 horas, para que puedas cumplir tu propio plazo de 72 horas.

Seguridad

• ISO 27001 en la práctica. Ya trabajamos según la ISO/IEC 27001:2022, con un sistema de gestión de la seguridad de la información en funcionamiento. La certificación formal está en curso; hasta entonces no nos presentamos como certificados.
• Pruebas de penetración. Hacemos pruebas de penetración internas. Seguirá una prueba externa, adaptada a la fase de beta privada.
• Personas. Verificación de los empleados, incluido un certificado neerlandés de buena conducta (VOG), y formación obligatoria en concienciación sobre seguridad.
• Acceso. Mínimo privilegio, autenticación multifactor y registro de las acciones de administración.
• Vigilancia. Infraestructura y flujos vigilados día y noche.
• Notificar una vulnerabilidad. ¿Has encontrado una vulnerabilidad? Nuestra política de divulgación coordinada de vulnerabilidades, basada en la guía del Nationaal Cyber Security Centrum neerlandés, explica cómo notificarla. Confirmamos la recepción en dos días laborables y nunca emprendemos acciones legales contra quien respeta nuestra política.

Leyes y normas

• RGPD y LOPDGDD: privacidad desde el diseño, sin transferencias fuera del EEE, sin seguimiento individual de espectadores por defecto. Consulta alojamiento de vídeo conforme al RGPD.
• Ley de IA (AI Act): ninguna práctica prohibida, ningún sistema de IA de alto riesgo, ningún modelo de IA de uso general. Tus vídeos nunca se usan para entrenar una IA. Consulta tus vídeos y el entrenamiento de IA.
• Reglamento de Datos (Data Act): cambio sin ataduras, exportación de todo en formatos abiertos, sin costes de salida. Consulta la guía del Data Act.
• NIS2: Jet-Stream está por debajo de los umbrales de tamaño, pero aplica voluntariamente las medidas de gestión de riesgos, porque muchos de nuestros clientes sí están sujetos. Consulta NIS2 y plataformas de vídeo.
• Accesibilidad: reproductor y páginas de publicación diseñados según WCAG 2.2 AA y la norma UNE-EN 301 549, sobre la base de una evaluación interna. Consulta reproductor de vídeo accesible.
• Archivo: una autoevaluación según la ISO 16175, incluida la exportación a un sistema de archivo electrónico.
• Gestión de la calidad: medidas equivalentes a la ISO 9001 dentro de nuestro SGSI, documentadas para licitaciones.
• Sostenibilidad: centros de datos con certificación verde y software eficiente en energía. Consulta alojamiento de vídeo sostenible.

Documentos disponibles bajo petición

Clientes, compradores y compradores públicos pueden pedir los siguientes documentos:

• Declaración de seguridad de la información y estado de la certificación ISO 27001
• Declaración de cumplimiento del RGPD y contrato de encargo del tratamiento
• Lista de subencargados
• Declaración de cumplimiento de la Ley de IA
• Declaración de cumplimiento del Reglamento de Datos
• Análisis de aplicabilidad y declaración NIS2
• Declaración de accesibilidad (WCAG 2.2 AA, UNE-EN 301 549)
• Autoevaluación de soberanía (EU Cloud Sovereignty Framework)
• Justificación de la soberanía digital, con fuentes
• Declaración técnica de cumplimiento y compromiso sobre la salida del streaming
• Declaración de equivalencia ISO 9001 y declaración de archivo ISO 16175
• Declaración sobre desarrollo de código abierto y propietario
• Declaración de sostenibilidad
• Política de divulgación coordinada de vulnerabilidades

Bajo petición y con un acuerdo de confidencialidad, también puedes consultar la declaración de aplicabilidad y nuestras políticas principales, o acordar una auditoría de proveedor.