Centro de confianza: certificaciones, auditorías y protección de datos
Este es el centro de evidencia de cumplimiento de BroadNet: las certificaciones, las declaraciones, los controles de manejo de datos, los subprocesadores y el proceso de divulgación que un revisor de adquisiciones o seguridad necesita para aprobar a un proveedor. Los informes detallados están protegidos por un acuerdo de confidencialidad; todo lo que un revisor debe ver primero está aquí.
- ISO/IEC 27001:2022 — Seguridad de la información
- ISO/IEC 27018 — Privacidad en la nube (datos personales)
- ISO 9001 — Gestión de la calidad
- ISO 22301 — Continuidad del negocio
- SOC 2 Tipo II — informe bajo acuerdo de confidencialidad
- RGPD: cumplimiento; acuerdo de tratamiento de datos (DPA) disponible
Copias de certificados e informes de auditoría disponibles bajo acuerdo de confidencialidad previa solicitud. trust@broadnet.me.
Lo que un revisor de compras puede abrir ahora, sin una llamada de ventas.
Los resúmenes que figuran a continuación son públicos. Los informes de auditoría completos y las copias de los certificados están sujetos a un acuerdo de confidencialidad y se envían previa solicitud.
Acuerdo de Procesamiento de Datos (APD)
El Acuerdo de Procesamiento de Datos estándar, que incluye las Cláusulas Contractuales Estándar de la UE, se incorpora a cada MSA. BroadNet actúa como encargado del tratamiento y el cliente como responsable del tratamiento.
Lea el Acuerdo de procesamiento de datosLista de subprocesadores
La lista actual de subprocesadores, con un preaviso de al menos 30 días antes de la contratación de uno nuevo.
Ver la listaCuestionario de seguridad (SIG/CAIQ)
Solicite el cuestionario SIG/CAIQ completado, el resumen ejecutivo de la prueba de penetración y copias de los certificados. Le responderemos en un plazo de un día hábil.
Solicita el paqueteDónde se alojan los datos, por mercado
Dónde se almacenan los datos de los clientes para cada mercado y cómo especificar una región.
Véalo por mercadoAuditado donde se recuentos.
BroadNet realiza auditorías externas continuas conforme a estándares reconocidos internacionalmente en materia de seguridad de la información, calidad y continuidad del negocio. Todas las copias de certificados e informes se comparten bajo solicitud y con un acuerdo de confidencialidad mutuo.
| Estándar | Alcance de la certificación | Expedido por | Ciclo de auditoría | Certificado y verificación |
|---|---|---|---|---|
| ISO/IEC 27001:2022 | El SGSI abarca la plataforma de mensajería, los productos del operador, el manejo de datos de clientes y las relaciones con los proveedores. | Organismo de certificación acreditado (indicado en el certificado) | Vigilancia anual · Recertificación cada 3 años | Certificado y declaración de aplicabilidad según la NDA. Verificar en IAF CertSearch (busque «BroadNet») |
| ISO/IEC 27018 | Protección de datos personales (PII) en los servicios de mensajería en la nube de BroadNet. La norma ISO/IEC 27018 es el código de buenas prácticas de privacidad en la nube que amplía la norma ISO 27001 ISMS. | Organismo de certificación acreditado (indicado en el certificado) | Evaluado según la norma ISO 27001 ISMS | Copia del certificado compartida bajo acuerdo de confidencialidad. Verificar en IAF CertSearch (busque «BroadNet») |
| ISO 9001:2015 | Sistema de gestión de calidad para el diseño, la entrega y el soporte de productos de mensajería de telecomunicaciones. | Organismo de certificación acreditado (indicado en el certificado) | Auditoría de vigilancia anual | Copia del certificado compartida bajo acuerdo de confidencialidad. Verificar en IAF CertSearch (busque «BroadNet») |
| ISO 22301 | Gestión de la continuidad del negocio: respuesta ante incidentes, objetivos de recuperación y escenarios de fallo de proveedores. | Organismo de certificación acreditado (indicado en el certificado) | Auditoría anual · Plan de continuidad probado cada año | Certificado y resumen del plan de continuidad bajo el acuerdo de confidencialidad. Verificar en IAF CertSearch (busque «BroadNet») |
| SOC 2 Type II | Criterios de los servicios de confianza: seguridad, disponibilidad y confidencialidad, durante un período de informe definido. | Firma de contadores públicos certificados independientes | Período de presentación de informes anual | Informe completo sujeto a acuerdo de confidencialidad. Los informes SOC 2 no se publican en un registro público. Solicita el paquete |
| GDPR | Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679): BroadNet trata los datos personales de los clientes como encargado del tratamiento, conforme al acuerdo de tratamiento de datos. | Reglamento de la UE (cumplimiento, no un certificado) | Obligación continua | Acuerdo de tratamiento de datos con las cláusulas contractuales tipo de la UE. Lea el Acuerdo de procesamiento de datos |
En curso: acreditación GSMA SAS-SM (Subscription Manager) para la operación eSIM. Aún no se ha obtenido, por lo que no figura como certificación vigente.
MobileValidate está operada por BroadNet y cubierta por las certificaciones ISO de BroadNet y por su acuerdo de protección de datos (APD).
Verificación: las copias más recientes de los certificados y los informes de auditoría se facilitan bajo un acuerdo de confidencialidad (NDA) previa solicitud. trust@broadnet.meBroadNet es además miembro asociado de la GSMA y miembro del Mobile Ecosystem Forum (MEF).
Privacidad y sector marcos.
Más allá de los estándares certificados, BroadNet opera sus controles de procesamiento para alinearse con los regímenes de protección de datos y del sector a los que están sujetos nuestros clientes.
GDPR
Controles del procesador según el artículo 28, un DPA estándar con cláusulas contractuales tipo de la UE, minimización de datos y herramientas para el derecho de supresión según el artículo 17. Enrutamiento exclusivo para la UE bajo solicitud.
UAE PDPL
Decreto-Ley Federal N° 45 de 2021: base jurídica, derechos del titular de los datos, notificación de violaciones de seguridad y controles de transferencias transfronterizas.
Saudi PDPL
Consentimiento, minimización de datos, restricciones a las transferencias transfronterizas y notificación de violaciones de seguridad en 72 horas, en consonancia con la aplicación de la SDAIA.
HIPAA-aligned
Disponibilidad de BAA confirmada durante la contratación. Plantillas seguras para PHI, registro restringido, AES-256 en reposo, TLS 1.3 en tránsito.
SOC 2 Trust Services
Criterios de seguridad, disponibilidad y confidencialidad avalados por un informe independiente SOC 2 Tipo II.
ISO 27001 ISMS
Se trata de un sistema de gestión certificado, no de una instantánea de un momento dado: los controles se auditan y se mantienen de forma continua.
Dentro de los cuerpos que establecer los estándares.
BroadNet es miembro de los organismos del sector que definen los estándares de mensajería, señalización e interconexión en todo el mundo; cada uno de ellos incluye un enlace a una breve explicación de lo que abarca la membresía.
Miembro asociado de la GSMA
Grupos de trabajo sobre mensajería, directrices de seguridad de la señalización y ciclos de documentación de interconexión.
MEF (Foro del Ecosistema Móvil)
Código de conducta para la mensajería A2P, buenas prácticas de identificación del remitente e iniciativas de protección al consumidor.
GLF (Foro de Líderes Globales de ITW)
Estandarización de la interconexión mayorista, la prevención del fraude y la mensajería, liderada por los operadores.
Carrier Community
Interconexión de mensajería mayorista y foros de calidad.
reguladores regionales
Reconocido por TDRA (EAU), CST (Arabia Saudita), NTRA (Egipto), TRC (Jordania) y autoridades equivalentes en nuestros mercados de distribución.
GSMA Open Gateway
Cumplir con los estándares de API de red de nivel operador para mensajería, fraude e identidad.
Todo lo que un crítico pide.
Páginas de detalles y políticas descargables. Los elementos marcados con NDA se comparten una vez que se ha firmado un acuerdo mutuo de confidencialidad; para obtenerlos en conjunto, solicite el paquete de seguridad.
Informes ISO 27001, 9001, 22301 y SOC 2 bajo NDA.
Explicación del alcance, el certificado y la declaración de aplicabilidad del SGSI.
Explicación y alcance del Sistema de Gestión de la Calidad.
Gestión de la continuidad del negocio: RTO/RPO y pruebas de mesa.
Cobertura de los Criterios de Servicios de Confianza; informe bajo NDA.
DPA estándar con cláusulas contractuales tipo de la UE, incorporado automáticamente a cada acuerdo marco de servicios.
Subprocesadores actuales con aviso de cambio con 30 días de antelación.
Dónde se almacenan tus datos y cómo delimitar una región.
Notificación en 72 horas y divulgación coordinada.
Cómo BroadNet gestiona los datos de visitantes, clientes potenciales y usuarios finales.
El contrato, la política de uso aceptable y la legislación aplicable.
Controles de plataforma, cuenta, operaciones y telecomunicaciones.
Residencia, retención, cifrado, claves.
Cómo se localizan, protegen y, finalmente, destruyen los datos de los clientes y usuarios finales. Todos los detalles se recogen en el Acuerdo de Protección de Datos (DPA) y en la descripción general de seguridad.
| Control | Cómo lo implementa BroadNet |
|---|---|
| Residencia de datos | Alojado por defecto en la región MENA; también está disponible el alojamiento en la UE, EE. UU. y Singapur. Enrutamiento exclusivo para la UE bajo petición; residencia en los CCG para contratos empresariales. |
| retención de datos | Los cuerpos de los mensajes se conservan durante 90 días de forma estándar, hasta 7 años en los planes empresariales (configurable). La información de identificación personal (PII/PHI) se elimina de los registros de webhook de forma predeterminada para el sector sanitario. |
| Cifrado en tránsito | TLS 1.3 en todo el tráfico API y webhooks. |
| Cifrado de datos almacenados | AES-256 con derivación de clave por inquilino para datos de clientes en reposo. |
| Gestión de claves criptográficas | Custodia respaldada por HSM (nivel 3 de FIPS 140-2 como mínimo para claves de firma eSIM) bajo procedimientos documentados de ceremonia de claves. |
| Control de acceso | Control de acceso basado en roles (RBAC), autenticación de dos factores (2FA) obligatoria para los administradores y registro de auditoría inmutable de cada acción que modifique el estado. |
| Derecho de supresión | Herramientas del artículo 17 del RGPD expuestas a través de API : eliminación masiva iniciada por el cliente mediante hash de número de teléfono, rango de ID de mensaje o inquilino. |
| Transferencias transfronterizas | Cláusulas contractuales estándar de la UE (2021) más el Acuerdo Internacional de Transferencia de Datos (IDTA) del Reino Unido, cuando corresponda; se realiza un seguimiento de las decisiones de adecuación. |
Dónde se alojan los datos, por mercado
| Mercado | Dónde se alojan los datos | Cómo lo consigues |
|---|---|---|
| Emiratos Árabes Unidos y el Consejo de Cooperación del Golfo (CCG) en general | Alojado por defecto en la región MENA: la mayor parte de la mensajería de producción se ejecuta en instalaciones de nivel 3 operadas por BroadNet en la región, incluido el centro de datos de Dubái. | Estándar. La residencia de datos de GCC está estipulada en los acuerdos empresariales. |
| Arabia Saudita | En Arabia Saudita: BroadNet opera un centro de datos en Riad para mantener los datos de los clientes de las cuentas de Arabia Saudita en dicho centro, en conformidad con la Política de Privacidad de Datos (PDPL) saudí. | A solicitud. |
| unión Europea | El alojamiento se realiza en la Unión Europea; el tráfico de la UE se puede restringir a rutas y almacenamiento exclusivos de la UE. | Previa solicitud. Las transferencias transfronterizas de datos se rigen por las Cláusulas Contractuales Tipo de la UE (2021). |
| Estados Unidos | Alojamiento en Estados Unidos. | Dependiendo del contrato. |
| Singapur | Alojamiento en Singapur. | Dependiendo del contrato. |
La política de residencia de datos contiene los detalles, y la región está fijada en su contrato. Lea la política de residencia de datos
Versiones legibles por máquina para herramientas de compras y agentes de IA: compliance.json (certificaciones, residencia, tratamiento de datos) · sla.json (disponibilidad, créditos de servicio, objetivos de soporte)
Una breve lista, y con 30 días de preaviso.
BroadNet mantiene su infraestructura de subprocesadores deliberadamente reducida. La mayor parte de la mensajería de producción se ejecuta en centros de datos Tier 3 operados por BroadNet en la región MENA; un número limitado de terceros ofrece soporte para cargas de trabajo y herramientas operativas fuera de la región MENA.
Qué usamos y por qué
- Infraestructura — Instalaciones BroadNet Tier-3 MENA (principales); nube regional para cargas de trabajo fuera de MENA.
- Correo electrónico transaccional — solo notificaciones de cuenta y alertas.
- Página de estado — Alojamiento de comunicaciones públicas sobre incidentes.
- Analítica — Alojamiento propio; sin terceros ni Google Analytics.
Cómo se notifican los cambios
Se notifica a los clientes con al menos 30 días de antelación antes de la contratación de cualquier nuevo subencargado del tratamiento, lo que les da tiempo para revisarlo u oponerse a su procesamiento. La lista oficial y actualizada se mantiene en la página de subencargados del tratamiento y la Autoridad de Protección de Datos (APD) hace referencia a ella.
Ver la lista actual de subprocesadores →Con quién contratas, en papel.
La entidad del grupo que respalda la plataforma y los documentos normativos que rigen la relación.
BroadNet Technologies Sarl
- Fundado
- 2003
- Sede central
- Dubái, Emiratos Árabes Unidos
- Forma jurídica
- Sarl (sociedad de responsabilidad limitada)
- Contratación
- Lo firma la sucursal de BroadNet que atiende su mercado; su contrato indica la entidad contratante.
- Regulador
- TDRA (Autoridad Reguladora de Telecomunicaciones y Gobierno Digital)
- Huella
- En toda la región MENA, además de alianzas en África, Asia, Europa y Latinoamérica.
Divulgación coordinada, sometido a pruebas periódicamente.
BroadNet realiza pruebas de penetración periódicas con terceros y cuenta con un proceso coordinado de divulgación de vulnerabilidades. Si encuentra alguna, infórmenos; respondemos con rapidez.
Informar de una vulnerabilidad
Envíe un correo electrónico a security@broadnet.me o lea la política legible por máquina y los idiomas preferidos en /.well-known/security.txt.
Pruebas de penetración
Pruebas de penetración independientes con una periodicidad regular; el resumen ejecutivo se comparte con los evaluadores bajo NDA.
Remediation SLA
Los hallazgos de alta gravedad se corrigen con un SLA de 30 días; los problemas críticos se priorizan de inmediato.
Preguntas sobre adquisiciones, respondió.
Las preguntas más frecuentes de los equipos de seguridad y adquisiciones. Todo lo que no se trate aquí se incluye en el paquete de seguridad.
¿Qué certificaciones y acreditaciones posee BroadNet?
BroadNet mantiene las certificaciones ISO/IEC 27001 (seguridad de la información), ISO/IEC 27018 (protección de datos personales en la nube), ISO 9001 (gestión de la calidad) e ISO 22301 (continuidad del negocio), posee un informe SOC 2 Tipo II que abarca seguridad, disponibilidad y confidencialidad, y cumple el RGPD (hay disponible un acuerdo de tratamiento de datos). La acreditación GSMA SAS-SM (Subscription Manager) de su infraestructura eSIM está en curso. BroadNet también es miembro asociado de la GSMA y miembro del Mobile Ecosystem Forum (MEF).
¿Puedo obtener los informes de auditoría y los certificados de una revisión de adquisiciones?
Sí. Las copias de los certificados, la Declaración de Aplicabilidad ISO 27001, el informe SOC 2 Tipo II y el resumen ejecutivo más reciente de las pruebas de penetración se comparten con clientes empresariales potenciales y actuales bajo un acuerdo de confidencialidad mutuo. Solicite el paquete de evaluación a trust@broadnet.me y, por lo general, le responderemos en un día hábil.
¿Firma usted un acuerdo de procesamiento diferido (DPA)? ¿Existe una lista de subencargados del tratamiento?
Cada Contrato Marco de Servicios incluye un Acuerdo de Procesamiento de Datos (APD) estándar que incorpora las Cláusulas Contractuales Estándar de la UE. BroadNet actúa como Encargado del Tratamiento y el cliente como Responsable del Tratamiento, de conformidad con el RGPD. Se publica una lista actualizada de subencargados del tratamiento y se notifica a los clientes con al menos 30 días de antelación a la contratación de cualquier nuevo subencargado para que puedan presentar objeciones.
¿Dónde se almacenan los datos de los clientes y podemos elegir la región?
BroadNet admite el alojamiento en MENA (por defecto), UE, EE. UU. y Singapur, según el contrato. Los datos de los clientes de la UE pueden aislarse en rutas y almacenamiento exclusivos de la UE si se solicita, y la residencia de datos en los CCG está disponible en los acuerdos empresariales. Las transferencias transfronterizas se rigen por las Cláusulas Contractuales Tipo (CCT) de la UE, además de los anexos específicos de cada región.
¿Cómo se cifran los datos y cómo se gestionan las claves?
Todo el tráfico de API y webhooks utiliza TLS 1.3 en tránsito. Los datos en reposo se cifran con AES-256 mediante derivación de clave por inquilino. La custodia de claves para la plataforma de gestión de suscripciones eSIM se realiza en HSM que cumplen con el nivel 3 de FIPS 140-2 como mínimo, bajo procedimientos documentados de ceremonia de claves con control dual.
¿Durante cuánto tiempo conservas el contenido de los mensajes?
Los cuerpos de los mensajes se conservan durante 90 días en los planes estándar y hasta 7 años en los planes empresariales, según lo configurable por contrato. La información personal identificable (PII) y la información de salud protegida (PHI) se eliminan de los registros de webhook de forma predeterminada para las cargas de trabajo del sector sanitario, y la herramienta de derecho de supresión del artículo 17 del RGPD está disponible a través de una API para la eliminación masiva iniciada por el cliente.
¿Admiten cargas de trabajo que cumplan con la normativa HIPAA?
BroadNet cumple con la normativa HIPAA. Si tiene previsto enviar PHI, infórmenos primero sobre sus requisitos de HIPAA; la disponibilidad del BAA se confirma durante la contratación. Los controles incluyen plantillas seguras para PHI, registro de actividad restringido, cifrado AES-256 en reposo y TLS 1.3 en tránsito. El cumplimiento de HIPAA es un compromiso contractual y de control, no una certificación.
¿Cómo puedo reportar una vulnerabilidad de seguridad?
Para consultar la política de divulgación coordinada y los idiomas preferidos, envíe un correo electrónico a security@broadnet.me o visite el archivo /.well-known/security.txt. BroadNet realiza pruebas de penetración periódicas con terceros y comparte el resumen ejecutivo bajo un acuerdo de confidencialidad (NDA). Los hallazgos de alta gravedad se corrigen en un plazo de 30 días.
Necesito el paquete de seguridad.
¿Para revisión de adquisiciones?
Enviaremos copias de los certificados, el informe SOC 2, el resumen de la prueba de penetración, el cuestionario de seguridad completado (SIG/CAIQ), la plantilla del acuerdo de protección de datos (DPA) y la lista de subprocesadores en un plazo de un día hábil, bajo un acuerdo de confidencialidad (NDA).