Vanta

Qué es Vanta y cómo funciona

Vanta es una plataforma de automatización del cumplimiento de Vanta Inc. (San Francisco) diseñada para llevar a las empresas SaaS a auditorías SOC 2, ISO 27001 y otras. La plataforma se conecta a más de 200 sistemas (AWS, GCP, Azure, Microsoft 365, Google Workspace, Okta, JumpCloud, GitHub, Jira, Slack y muchos más) mediante integraciones de solo lectura y verifica de forma continua que los controles correspondientes están en marcha. También gestiona políticas internas, evaluaciones de riesgos de proveedores, formación de empleados y recopilación de evidencia para auditorías.

Qué datos trata Vanta

Vanta trata atributos del directorio (nombre, correo profesional, rol, fechas de incorporación y baja, responsable), inventario de dispositivos desde MDM (portátiles, SO, estado de cifrado, bloqueo de pantalla), registros de formación, pruebas de aceptación de políticas, capturas de revisión de accesos, metadatos de configuración cloud (sin datos de producción, solo configuración), resultados de escaneos de vulnerabilidades desde escáneres conectados y cuestionarios de proveedores. Las cargas sensibles (datos de producción, datos de clientes) quedan explícitamente fuera del alcance, pero pueden filtrarse mediante metadatos si los alcances de integración son demasiado amplios.

Implicaciones del RGPD

Vanta es encargado del tratamiento de datos personales de empleados bajo el RGPD. El cliente (empleador) es el responsable y debe firmar el DPA de Vanta, documentar el tratamiento en su registro de actividades e informar a los empleados. Dado que Vanta es en sí misma una herramienta de cumplimiento, publica informes ISO 27001 y SOC 2 detallados sobre sí misma, lo que simplifica la diligencia debida. No obstante, la amplitud de las integraciones y el matiz de supervisión laboral (registros de formación, revisiones de acceso) hace que normalmente se recomiende una EIPD.

Consentimiento y base jurídica

Los datos de empleados en Vanta se tratan bajo el art. 6(1)(b) (contrato laboral) y el art. 6(1)(f) (interés legítimo en seguridad y cumplimiento), no consentimiento. En Francia y Alemania, el comité de empresa debe ser informado y, cuando Vanta habilita supervisión de dispositivos o conductas, consultado bajo el art. 88 RGPD y el derecho laboral nacional. El consentimiento no es necesario para que Vanta funcione, pero la información sí es obligatoria.

Residencia de datos y transferencias a EE. UU.

Vanta se aloja por defecto en AWS us-west. Para clientes con requisitos estrictos de residencia, se puede seleccionar una región UE (AWS Irlanda o Frankfurt según disponibilidad). Para despliegues en EE. UU. aplican las CCT y Vanta está certificada en el Marco de Privacidad de Datos UE, EE. UU. Realice una Evaluación de Impacto de la Transferencia y documente las medidas técnicas y organizativas (cifrado en tránsito y en reposo, alcances de integración gestionados por el cliente, tokens de auditoría limitados).

Pasos prácticos de cumplimiento

Firme el DPA de Vanta, seleccione la región UE cuando sea viable, documente Vanta en su registro, informe a los empleados en la política interna, ajuste cada integración al mínimo necesario (solo lectura, permisos mínimos), restrinja el acceso de administradores con MFA y SSO, realice una EIT para despliegues en EE. UU., realice una EIPD para uso a escala, ajuste la retención de pruebas de formación y políticas a los requisitos de auditoría y revise los cambios de subencargados notificados por Vanta.