Okta

Qué es Okta

Okta es una plataforma global de gestión de identidades y accesos operada por Okta, Inc., con sede en San Francisco. Su Workforce Identity Cloud ofrece a los empleados SSO, MFA, gestión del ciclo de vida y revisiones de acceso para cientos de aplicaciones empresariales. Su Customer Identity Cloud, que incluye Auth0 adquirida en 2021, asegura el login de aplicaciones de consumo y B2B con social login, sin contraseña, protección antifuerza bruta, detección de anomalías y MFA adaptativo. Ambos productos pasan por un flujo de autenticación alojado en subdominios okta.com o auth0.com y por SDKs amplios.

Qué datos y cookies recoge Okta

Okta recoge nombre de usuario, contraseña (siempre hasheada), correo, teléfono, factores MFA (secretos OTP, claves WebAuthn), huella de dispositivo, IP, User Agent, país, registros de auditoría de cada autenticación, sesión y cambio de configuración y cualquier claim personalizada. En el visitante, el flujo alojado fija una cookie de sesión sid y varias cookies técnicas (DT, JSESSIONID, t) de protección CSRF. Auth0 añade su propia cookie auth0 y señales opcionales de detección de anomalías.

Implicaciones RGPD y ePrivacy

Las cookies de autenticación de Okta son estrictamente necesarias para iniciar sesión en el servicio solicitado y quedan exentas del requisito de consentimiento del artículo 5.3 de ePrivacy. El tratamiento de credenciales, MFA y registros de auditoría se basa en la ejecución del contrato (art. 6.1.b), obligaciones legales (art. 6.1.c para seguridad y conservación) e interés legítimo para la prevención del fraude. La detección de anomalías o el scoring conductual que vayan más allá de lo necesario deben evaluarse por separado. La política debe listar a Okta o Auth0 como encargado.

Se requiere consentimiento

No para las cookies de autenticación estrictamente necesarias y los tokens de seguridad. Sí para funciones opcionales más allá de la autenticación: analítica en la página de login, widgets de marketing, proveedores sociales sujetos a consentimiento, reconocimiento persistente de dispositivos con fines de marketing. El usuario siempre debe ser informado de que Okta o Auth0 participan en el inicio de sesión.

Transferencias y destinatarios

Con una celda UE (Frankfurt o Dublín) elegida al crear el tenant, los datos persistentes permanecen en la UE. Okta, Inc. (EE. UU.) sigue siendo responsable de la plataforma y accede a los datos para soporte, seguridad y respuesta a incidentes. Okta está certificado en el Marco de Privacidad de Datos UE EE. UU., ofrece cláusulas tipo UE a través del Master Subscription Agreement y el DPA, y publica una lista de subencargados actualizada. Auth0 sigue el mismo régimen. Para sectores regulados, Okta dispone de FedRAMP, ISO 27001, ISO 27018, SOC 2 Type II y HIPAA.

Pasos prácticos de cumplimiento

Elija una celda UE al provisionar el tenant, firme el DPA de Okta con anexo de cláusulas tipo, liste a Okta, Inc. y Auth0 como destinatarios con el mecanismo de transferencia, configure la retención de los registros de auditoría al mínimo que satisfaga sus obligaciones, restrinja accesos administrativos con SSO y MFA y considere Bring Your Own Key para tenants sensibles. Documente la integración en el registro del art. 30.