Qué estándares cumplimos, en qué estamos trabajando y qué no afirmamos
Spun está construido con privacidad y seguridad desde el diseño. Usamos cifrado en tránsito, acceso controlado, registro de auditoría, retención de datos configurable y funciones de IA que controla el cliente. No exageramos: cada estado que ves abajo está actualizado.
Estado por marco (SOC 2, GDPR, ISO 27001 y más)
El desglose detallado, estándar por estándar, ahora está en la página de Seguridad, junto con el resto del contenido de seguridad.
Retención de datos
Límites de retención por plan
Los mensajes más antiguos se eliminan automáticamente al llegar al límite del plan. Puedes reducir aún más la retención por chat en “Seguridad y privacidad” → “Almacenamiento de mensajes”, o borrarlo todo cuando quieras.
| Plan | Historial de mensajes | Almacenamiento de medios |
|---|---|---|
| Free TrialPrueba de 7 días | 30 días | 5 GB |
| Starter | 90 días | 10 GB |
| Pro | 1 año | 100 GB |
| Max | Ilimitado | 500 GB |
Al eliminar la cuenta, todos los datos personales se eliminan o se anonimizan en un plazo de 30 días, excepto cuando la ley exige conservarlos (registros financieros, prevención de fraude).
Dónde viven tus datos
Alojamiento regional
Spun opera dos celdas de datos: eu-1 en Núremberg, Alemania, la celda principal, donde se crea cada organización nueva, y us-1 en Manassas, Virginia. Cada organización está alojada en exactamente una de ellas. El sitio de marketing y los archivos multimedia se sirven globalmente desde la red perimetral de Cloudflare.
Hetzner Nuremberg
EU (Germany) - application servers + PostgreSQL
La celda principal: plano de control, servidores de aplicaciones, base de datos y Redis. Las organizaciones nuevas se crean aquí; ningún país está asignado a otra celda.
netcup Manassas
US (Virginia) - regional cell
Una segunda celda con sus propios servidores de aplicaciones y su propia base de datos. Hoy hay dos organizaciones alojadas aquí; todas las demás organizaciones están en Alemania.
Cloudflare Pages
Global edge - marketing site & static assets
spun.com y más de 20 dominios regionales se sirven desde la red perimetral global de Cloudflare. Los visitantes llegan automáticamente al punto de presencia (PoP) más cercano.
Cloudflare R2
Global - images, video, file attachments
Todos los medios (imágenes, video, audio, documentos) se almacenan en R2. Nunca se sirven desde la dirección de un bucket público: el acceso está controlado por URL firmadas para cada objeto.
Regiones adicionales
En evaluación
Evaluamos más celdas regionales a medida que la demanda lo justifique. Los clientes fuera de las regiones anteriores se atienden desde Hetzner en Núremberg (UE).
Región de la India
India
En evaluación para funciones de voz en idiomas de la India y para la residencia de datos.
Dónde vendemos y por qué
Hoja de ruta del lanzamiento internacional
Primero lanzamos en los mercados donde WhatsApp es una infraestructura central para los negocios, y nos expandimos a mercados empresariales con mayores exigencias de cumplimiento a medida que maduran nuestras certificaciones.
- 1
América Latina y Medio Oriente (actual)
México, Colombia, Argentina, Chile, Perú, Emiratos Árabes Unidos: WhatsApp es la infraestructura universal de los negocios y los ciclos de venta son cortos. La preparación para SOC 2 es suficiente.
- 2
Pymes de EE. UU. (actual, en expansión)
Servicios para el hogar, bienes raíces, soporte de comercio electrónico, viajes, educación, bienestar. SOC 2 Type I y un paquete completo de Acuerdo de Tratamiento de Datos (DPA) hacen de Spun una opción viable para la mayoría de los compradores pyme y de mercado medio en EE. UU.
- 3
Empresas de la UE y el Reino Unido (después de SOC 2 Type I)
Entraremos una vez que SOC 2 Type I esté firmado y el trabajo de ISO 27001 esté en marcha. Requiere un DPA y unas Cláusulas Contractuales Tipo (SCCs) pulidos, la confirmación del alojamiento en la UE y herramientas completas de eliminación y exportación. Todo eso ya existe, pero le conviene una certificación de un tercero antes de las ventas a empresas más grandes.
Documentos disponibles
Solicítalos a [email protected]
Acuerdo de Tratamiento de Datos (DPA)
Borrador alineado con el GDPR, disponible a pedido; actualmente en revisión legal.
Lista de notificaciones de subencargados
Recibe avisos por correo electrónico cuando agreguemos o cambiemos un subencargado.
Resumen de seguridad
Arquitectura, cifrado, control de acceso, gestión de vulnerabilidades.
Política de tratamiento de datos con IA
Qué proveedores de IA, qué datos ven, compromiso de no usarlos para entrenamiento.
Política de respuesta a incidentes
Detección, contención, plazos de notificación a los clientes.
Política de Uso Aceptable
Qué está permitido en Spun y en qué se basa la aplicación de las reglas.
¿Tienes un cuestionario de seguridad?
Respondemos cuestionarios de seguridad estándar (SIG, CAIQ y cuestionarios empresariales a medida) en un plazo de 5 días hábiles. Escribe a [email protected] con tus plazos.