Por ahora, esta página solo está disponible en inglés. Pronto habrá una traducción.
Seguridad que de verdad puedes comprobar.
Aquí tienes la versión sencilla de cómo Omie almacena, aísla y protege tus datos hoy. ISO 27001 e ISO 9001 están certificadas, SOC 2 Type II está en curso, y esta página muestra exactamente en qué punto está cada cosa.
auditado, no afirmado
Certificado, no solo afirmado.
Dos certificaciones acreditadas que puedes verificar con el organismo emisor, y una auditoría que solo llamaremos terminada cuando realmente lo esté.
El día que SOC 2 Type II se complete, esta página dirá certificado, y ni un día antes.
qué protegemos, y cómo
Lo que es cierto sobre tus datos hoy.
Seis puntos concretos con los que un revisor puede exigirnos cuentas, cada uno aplicado en el propio producto y no solo escrito en un documento de política.
Cifrado de extremo a extremo
El tráfico va sobre TLS, y los datos se cifran en reposo en la base de datos y en el almacenamiento de archivos. Las claves las gestionan nuestros proveedores de infraestructura, no viven en el código de la aplicación.
Aislamiento por cliente con seguridad a nivel de fila
Cada tabla asociada a una organización lleva un identificador de organización y una política de seguridad a nivel de fila en Postgres. El aislamiento se aplica en la base de datos, así que un cliente nunca puede leer las filas de otro.
Acceso de mínimo privilegio
Las personas y los servicios solo obtienen el acceso que necesita su tarea. Cuatro roles (miembro, manager, admin de la organización, propietario de la organización) definen qué puede hacer cada uno dentro de una cuenta.
Región UE (Fráncfort): prevista
Hoy todos los datos se alojan en Virginia del Norte, EE. UU. (AWS us-east-1). Nuestra región Europa en Fráncfort, Alemania (AWS eu-central-1) está prevista, y los clientes Business podrán trasladarse allí cuando abra.
Copias de seguridad regulares y probadas
La base de datos se respalda según un calendario regular con recuperación a un punto en el tiempo, y comprobamos que una restauración realmente funciona en vez de darlo por hecho.
Registro de auditoría en acciones sensibles
Los cambios de rol, las exportaciones y las acciones de administración quedan escritos en un registro de auditoría de solo adición, así que hay constancia de quién hizo qué y cuándo.
Un cliente, aislado dentro de la base de datos.
Un aislamiento que puedes señalar directamente en Postgres, no una promesa en una diapositiva. Toda solicitud recorre los mismos cuatro pasos.
Resolver la organización
Llega una solicitud y leemos la organización activa desde la sesión firmada, nunca desde una URL o una cabecera que un cliente pudiera falsificar.
Acotar cada consulta
Las políticas de seguridad a nivel de fila envuelven cada consulta, así que la propia base de datos solo devuelve las filas que pertenecen a ese cliente.
Controlar la acción
El rol del miembro decide qué puede hacer la acción, comprobado en el servidor antes de escribir nada.
Escribir el registro
Los cambios sensibles quedan en un registro de auditoría de solo adición, así la secuencia de eventos está disponible cuando necesites revisarla.
para tu revisión
El stack, y dónde corre.
Los subencargados que hacen funcionar Omie, qué toca cada uno, y dónde. Seguido de un repaso honesto de nuestro estado de cumplimiento.
Subencargados
Todos a quienes confiamos datos, y exactamente qué gestionan.
| Subencargado | Propósito | Datos | Región |
|---|---|---|---|
| Supabase | Base de datos Postgres, autenticación y almacenamiento de archivos | Cuenta, señales de aprendizaje y contenido que creas | Virginia del Norte, EE. UU. (us-east-1); Fráncfort está prevista |
| Vercel | Alojamiento de la aplicación y entrega en el borde | Metadatos de la solicitud, ningún contenido de aprendizaje almacenado en reposo | Borde global, plano de control en EE. UU. |
| Anthropic | Ada, el coach de IA, y generación de contenido | Prompts y contexto de la lección, nunca usados para entrenar modelos fundacionales | Estados Unidos |
| Resend | Correos transaccionales como enlaces mágicos y resúmenes | Nombre y dirección de correo | EE. UU. y UE |
| Stripe | Facturación y suscripciones | Datos de facturación, gestionados dentro de Stripe (PCI DSS) | Global |
| PostHog | Analítica de producto | Eventos de uso pseudonimizados, nunca respuestas de aprendizaje | Nube UE disponible |
| Sentry | Monitorización de errores, para detectar fallos antes de que nos los reportes | Trazas de error y metadatos de la solicitud, nunca respuestas de aprendizaje | EE. UU., UE disponible |
| OpenAI | Embeddings para búsqueda y recomendaciones, y texto a voz para lecciones de audio | Texto de búsqueda y respuestas de incorporación; guiones de lección para audio. Nunca usados para entrenar modelos | Estados Unidos |
| ElevenLabs | Narración de las lecciones | Solo el texto de la lección, sin datos personales | Estados Unidos |
Estado de cumplimiento
Dónde está realmente cada punto. Nunca mostramos una certificación que no tenemos.
| Área | Estado | Qué significa |
|---|---|---|
| ISO 27001 | Certificado | Gestión certificada de la seguridad de la información. El certificado viene incluido en el paquete de diligencia y puede verificarse con el organismo emisor. |
| ISO 9001 | Certificado | Sistema de gestión de calidad certificado, que cubre cómo construimos, entregamos y damos soporte al producto. |
| SOC 2 Type II | En curso | Los controles se están implementando y documentando con evidencias. El informe aún no se ha emitido, y mantendremos esta fila honesta hasta que lo esté. |
| RGPD | Listo | Los derechos de los interesados y un DPA están cubiertos, y la región UE está prevista. Solo procesamos lo que el producto necesita. |
| Región UE (Fráncfort) | Prevista | Las cuentas Business podrán mantener los datos de cuenta y de aprendizaje en Fráncfort, Alemania (AWS eu-central-1). Hoy todos los datos están en Virginia del Norte, EE. UU. (AWS us-east-1). |
| Acuerdo de tratamiento de datos | Disponible | Un DPA está listo para firmar en Business, con las cláusulas estándar incluidas. |
| Test de penetración | Bajo petición | Podemos explicar a revisores cualificados nuestro enfoque de pruebas y los últimos hallazgos bajo NDA. |
Tus datos trabajan para ti, y nunca para una red publicitaria ni un intermediario de datos.
Qué recogemos
Tu cuenta, tus señales de aprendizaje (lo que has terminado y cómo te ha ido) y el contenido que creas. Nada más de lo que el producto necesita para personalizar tu día.
Cuánto tiempo lo guardamos
Guardamos tus datos mientras tu cuenta esté activa, para que tu ruta y tu dominio te sigan. Desactiva la cuenta y el procesamiento se detiene.
Eliminación bajo petición
Pídenoslo y eliminamos tus datos personales, y te lo confirmamos en cuanto esté hecho. Los guardamos mientras tu cuenta esté activa y los borramos cuando decidas irte.
No vendemos tus datos
Omie nunca ha vendido datos personales y nunca lo hará. No hay redes publicitarias ni intermediarios de datos en ningún lugar del cuadro.
inicia sesión a tu manera
Inicia sesión como ya lo hace tu empresa.
Las cuentas Business se conectan a tu proveedor de identidad a través de WorkOS, así que cada persona entra con el inicio de sesión en el que ya confía, y pierde el acceso en el momento en que se revoca.
- SSO y SAML a través de WorkOS, en Business
- Aprovisionamiento SCIM para añadir y quitar personas automáticamente
- El multifactor lo aplica tu proveedor de identidad
- Enlace mágico o contraseña para todos en Personal y Premium
estándares de identidad que hablamos
- WorkOSproveedor SSO
- SAML 2.0inicio de sesión empresarial
- SCIM 2.0aprovisionamiento de usuarios
- OIDCcompatible
- Seguridad de sesiónfirmada, con caducidad
para revisores e investigadores
Compruébanos, y compruébanos bien.
¿Encontraste una vulnerabilidad? Cuéntanoslo primero. Practicamos la divulgación coordinada, buscamos confirmar los reportes de buena fe en dos días hábiles, y no perseguiremos a quienes investiguen de buena fe.
Escribe a security@tryomie.com. Por favor, déjanos una forma de contactarte.
un enlace, todo dentro
El paquete de diligencia
- Certificados ISO 27001 e ISO 9001
- Este resumen de seguridad, siempre actualizado
- Lista de subencargados y flujos de datos
- Un DPA, listo para firmar
- Región UE (Fráncfort): prevista
Diez módulos, un solo motor, una sola frontera de seguridad. Todo en esta página los cubre a la vez.