Hoja de ruta SOC 2 Type II
Nuestro programa SOC 2 Type II está en curso. Esta página muestra hitos completados, actuales y previstos; no afirma una certificación ni un informe disponible.
Hitos
2026-Q1
Preparación de la arquitectura
AWS multi-AZ + AES-256 en reposo + TLS 1.2+ + Secrets Manager + IAM con privilegios mínimos. Todos los controles fundamentales ya en producción.
2026-Q2
Arquitectura preparada para el RGPD
Auditoría de privacidad olas 1 a 4 completadas: minimización de datos, flujos de derecho al olvido, gestión de consentimientos y tratamiento biométrico bajo el artículo 9(2)(a).
2026-Q3
Logs de auditoría y respuesta a incidentes
Registro de auditoría centralizado (retención de 1 a 3 años según el plan), runbook de respuesta a incidentes, rotación on-call y protocolo de notificación de brechas.
2026-Q3
Selección de auditor — Vanta + A-LIGN
Se han seleccionado Vanta para automatizar el cumplimiento y A-LIGN como firma auditora independiente del programa SOC 2 Type II.
2026-Q4
Evaluación de preparación
Análisis de brechas guiado por Vanta y revisión humana de A-LIGN. Cubre políticas, controles de acceso, gestión de cambios, gestión de proveedores y cifrado, e identifica cualquier brecha pendiente antes del periodo de observación de 6 meses.
2027-Q1
Inicio del periodo de auditoría
Empieza la ventana de observación de 6 meses. Recogida continua de evidencias — efectividad operativa de los controles a lo largo del tiempo, no en un único punto.
2027-Q2
Cierre del periodo de auditoría
El auditor finaliza la revisión de evidencias. Entrevista de cierre y respuesta de la dirección. Comienza la redacción del informe.
2027-Q3
Emisión del informe SOC 2 Type II
Informe final disponible para clientes bajo NDA. Comienza la cadencia de re-auditoría anual; el informe se renueva cada año con un nuevo periodo de observación Type II.
Selección de proveedores
Usamos Vanta para automatizar el cumplimiento y hemos seleccionado a A-LIGN como firma auditora.
Vanta — plataforma de automatización de cumplimiento
Vanta ayuda a recopilar evidencias de forma continua en nuestros sistemas.
A-LIGN — firma auditora
A-LIGN es la firma independiente seleccionada para el encargo Type II.
Por qué Type II y no Type I
El SOC 2 Type I certifica que los controles existían en un momento puntual; el Type II certifica que han funcionado de forma efectiva durante un periodo (habitualmente 6 meses). Los equipos de IT enterprise descartan el Type I — es prácticamente una foto fija. El Type II es el que realmente piden.
Saltamos el Type I y vamos directos al Type II para evitar la trampa del "hito inútil". Esto añade unos 6 meses al cronograma, pero genera un informe que los clientes sí utilizan.
¿Necesitas completar un cuestionario de seguridad hoy?
Hasta que se emita el informe previsto para el T3 de 2027, podemos facilitar:
• Respuestas CAIQ-Lite a la matriz estándar CSA Cloud Controls Matrix.
• Respuestas personalizadas a cuestionarios específicos de cada proveedor (importaciones desde Vanta, Drata o SecurityScorecard — habitualmente 3 días hábiles).
• Diagramas de arquitectura y descripciones de flujo de datos firmados por el equipo de ingeniería.