Seguridad y protección de datos en DataLion

DataLion se aloja en Hetzner Online GmbH, en Alemania, en las ubicaciones de Núremberg y Falkenstein. Esos centros de datos están certificados según ISO 27001: la certificación se refiere a los centros de datos y al alojamiento, no a DataLion como empresa ni como software. El alojamiento es climáticamente neutro.

Sus datos se tratan y se almacenan en Alemania. Con el proveedor de alojamiento existe un contrato de encargo de tratamiento según el art. 28 del RGPD. Para empresas, institutos y sector público eso significa canales cortos, derecho alemán y ninguna transferencia de datos de personas encuestadas a terceros países por la vía del alojamiento.

• Hetzner, ubicaciones de Núremberg y Falkenstein
• Centros de datos certificados según ISO 27001 (certificación del alojamiento, no de DataLion)
• Alojamiento climáticamente neutro
• Los datos permanecen en Alemania

La base de datos se respalda de forma incremental cada hora y por completo cada día. Las copias se conservan siete días: si ocurre lo peor, hay un estado reciente listo para restaurar.

Puede consultar públicamente el estado operativo de la plataforma en cualquier momento: status.datalion.

• Copias incrementales de la base de datos cada hora
• Copia completa diaria
• Retención de siete días
• Página de estado pública

Todas las conexiones con DataLion están cifradas con TLS (HTTPS), con HSTS y cabeceras de seguridad como X-Frame-Options y políticas restrictivas de referrer y de permisos. Las cookies de sesión son cifradas, HttpOnly y Secure.

Las contraseñas nunca se guardan en claro, sino únicamente como hash con sal; un historial de contraseñas impide reutilizar las antiguas. Los valores almacenados más sensibles, como los secretos de 2FA y las claves de API de IA guardadas, se cifran además en la aplicación con AES-256.

Los intentos de inicio de sesión y los accesos a la API están limitados por tasa, para frenar la fuerza bruta y los usos abusivos. A petición, el acceso puede restringirse a rangos de IP fijos, por ejemplo a la red de su empresa.

El propio desarrollo está asegurado: cada cambio de código pasa por análisis de seguridad automatizados, con análisis estático de código (SAST), auditoría de dependencias y detección de secretos.

• TLS/HTTPS con HSTS y cabeceras de seguridad
• Cookies de sesión cifradas, HttpOnly y Secure
• Contraseñas guardadas solo como hash con sal, con historial
• Cifrado AES-256 de los secretos almacenados (2FA, claves de API)
• Limitación por tasa en inicios de sesión y API, restricción por IP disponible
• Análisis de seguridad automatizados en la cadena de desarrollo (SAST, dependencias, secretos)

DataLion controla los accesos en tres niveles: roles (administrador, editor, lector), permisos por dashboard (editar, ver, sin acceso) y perfiles de acceso granulares por proyecto. Así define quién puede ver, filtrar, exportar o compartir datos, hasta llegar a los accesos de solo lectura para clientes y a los filtros de datos a nivel de fila mediante los perfiles de acceso.

Técnicamente rige un principio estricto: cada recurso está protegido por una política de acceso que deniega en caso de duda (fail-closed). Que cada modelo de datos tenga realmente esa política se comprueba de forma automática en cada versión.

Más detalles en las páginas Roles & permisos y Perfiles de acceso.

• Roles: administrador, editor, lector
• Permisos por dashboard y por informe
• Perfiles de acceso por proyecto: derechos de exportación, filtrado y compartición, accesos de solo lectura
• Filtros de datos a nivel de fila mediante perfiles de acceso
• Políticas de acceso fail-closed, comprobadas automáticamente en cada versión

El acceso por parte de DataLion también está regulado: las intervenciones del soporte en su entorno pasan por un acceso de soporte auditado. Usted decide el modo: desactivado, autorización caso por caso o permiso permanente.

Cada sesión de soporte está vinculada a una identidad @datalion.com verificada por SSO, limitada a 45 minutos y revocable de inmediato en cualquier momento. Un registro de accesos completo deja constancia de qué persona accedió y cuándo; durante la sesión, un aviso señala el acceso de soporte activo.

• Tres modos: desactivado, autorización caso por caso, permiso permanente
• Identidad del personal verificada por SSO (@datalion.com)
• Sesiones limitadas a 45 minutos, revocables de inmediato
• Registro de accesos completo, con la identidad personal

Además del correo y la contraseña, DataLion admite autenticación en dos factores (TOTP) mediante aplicación de autenticación. Se puede activar por usuario o hacerla obligatoria para toda la instalación.

Para entrar sin contraseña propia se puede activar el single sign-on vía Google o Microsoft (OAuth) y a través del DataLion Identity Server. Los clientes Enterprise conectan su propio proveedor de identidad. Los detalles, en la página Single sign-on.

• 2FA TOTP mediante aplicación de autenticación, obligatoria de forma opcional
• SSO vía Google y Microsoft (OAuth)
• DataLion Identity Server
• Proveedor de identidad propio para Enterprise

DataLion es una empresa alemana y trabaja al 100 % conforme al RGPD. El contrato de encargo de tratamiento (DPA) según el art. 28 del RGPD se entrega en formato digital, sin negociaciones interminables. Para clientes Enterprise es negociable de forma individual.

Los proveedores también se eligen dando prioridad a la UE: alojamiento con Hetzner en Alemania, envío de correo y analítica de producto en instancias europeas. Todos los detalles, las bases jurídicas y los subencargados figuran en nuestra política de privacidad.

La minimización de datos rige también de puertas adentro: la actividad de uso se registra solo como una señal diaria aproximada, sin referencia a proyecto, contenido ni dirección IP, y se depura de forma automática.

• Contrato de encargo de tratamiento según el art. 28 del RGPD, incluido en formato digital
• Enterprise: contrato de encargo negociable de forma individual
• Prioridad a la UE en proveedores y subencargados
• Señales de actividad minimizadas, sin referencia a proyecto, contenido ni IP
• Política de privacidad transparente

Para funciones de IA como «Ask your data» y el análisis de sentimiento y de temas, cada espacio de trabajo guarda su propio modelo de IA: su clave, su modelo y su endpoint, a elegir entre HybridAI, OpenAI, Anthropic, Azure OpenAI y Mistral. El endpoint es libremente configurable y también es posible una operación en la UE u on-premise del modelo de lenguaje. Las claves de API guardadas se almacenan cifradas.

La integración con Claude y MCP arranca en modo de solo lectura: los accesos de escritura deben habilitarse expresamente, los tokens de API tienen alcance limitado y los registros de depuración se ocultan.

• Bring your own model: HybridAI, OpenAI, Anthropic, Azure OpenAI, Mistral
• Endpoint libremente configurable: UE u on-premise
• Claves de IA almacenadas cifradas
• Conexión MCP de solo lectura por defecto, tokens de API con alcance limitado

Si su compliance lo exige, ejecute DataLion on-premise en su propia infraestructura, como instalación basada en Docker con clave de licencia, o como instancia dedicada sobre hardware propio en Alemania. Mantiene el control completo sobre la ubicación, la operación y los flujos de datos.

Detrás de todo esto hay una empresa alemana: desarrollada en Múnich, con soporte en alemán y personas de contacto que conocen las exigencias de la investigación de mercados europea.

• On-premise como instalación basada en Docker
• Alojamiento dedicado en una instancia propia
• Desarrollada en Múnich, soporte en alemán