Reversibilidad y compromiso de salida

1. La exportación completa, en todo momento, sin pedírnosla

En Registro de auditoría → Exportación completa, cualquier administrador descarga con un clic la totalidad de los datos de su agencia, en formato JSON. Sin solicitud previa, sin plazo de espera, sin coste, sin límite de frecuencia. No necesita nuestro acuerdo para recuperar sus datos: ese es precisamente el planteamiento de esta página.

La exportación contiene:

• su agencia, sus cuentas de usuario y sus invitaciones;
• sus clientes, sus contactos, sus notas, sus etiquetas y las asignaciones dentro de su equipo;
• los diagnósticos completos: evaluaciones, respuestas objetivo por objetivo, niveles declarados y validados, y el propio referencial — sin este último, las respuestas no serían más que una lista de identificadores;
• el registro de conformidad y su historial de cambios, los planes de acción, los riesgos, los proveedores, los incidentes y sus notificaciones, los elementos de continuidad;
• sus presupuestos y sus líneas, y su catálogo de servicios — que es su trabajo comercial, no el nuestro;
• el expediente ISO 27001 completo: plan de tratamiento del riesgo, no conformidades, revisiones por la dirección, y también sus decisiones de aplicabilidad y sus justificaciones. Como la Declaración de aplicabilidad y el estado de las cláusulas se derivan de una tabla de correspondencia ReCyF ↔ Anexo A, esa tabla se exporta junto con sus datos — sin ella, sus justificaciones quedarían colgando de referencias de controles ilegibles;
• sus políticas, su registro de auditoría y el historial de los informes generados — su puntuación y la identidad de marca en el momento de la generación. El PDF en sí no se conserva: se reconstruye a petición a partir de esos datos y sigue siendo descargable desde la aplicación mientras su cuenta esté activa.

Una prueba automatizada verifica, en cada cambio de código, que cada tabla de la base de datos figura en la exportación o está excluida de ella de forma explícita y motivada. Una promesa de exhaustividad que no se comprueba de forma automática caduca en silencio con la siguiente funcionalidad.

Lo que la exportación no contiene, y por qué

• El registro de auditoría más allá de las 50 000 líneas más recientes. Es la única tabla sin límite natural — una línea por operación de modificación, nunca depurada. Por encima de ese volumen, el archivo sería demasiado grande para generarse de forma fiable. La exportación indica expresamente si se ha truncado (auditLogTruncated), y el registro completo sigue siendo consultable y exportable en CSV desde la página dedicada: no se pierde nada, pero preferimos escribirlo antes que dejarle creer en una exhaustividad.
• Los archivos adjuntos (justificantes, pruebas ISO) no están en el JSON — un binario no tiene cabida en él. Cada línea lleva la ruta de descarga de su archivo, y los archivos siguen siendo accesibles desde la aplicación durante toda la vigencia del contrato y del preaviso.
• Los secretos: hashes de contraseñas (nunca almacenadas en claro), tokens de uso compartido con un auditor, credenciales de sus conectores y de su PSA. Su ausencia se comprueba en la compilación y mediante una prueba que inspecciona el archivo producido; no es una consigna de redacción. Son accesos, no datos: copiarlos en un archivo que circula por correo electrónico crearía un riesgo en lugar de resolver uno.
• Los tokens técnicos de un solo uso (verificación de correo electrónico, restablecimiento de contraseña), que caducan en unas horas y no tienen ningún valor fuera de la plataforma.

2. Formato abierto, reutilizable en otro sitio

La exportación es JSON estructurado y versionado (formatVersion), no un formato propietario que solo nosotros sepamos leer. Los nombres de los campos son los del modelo de datos. También hay disponible una exportación CSV de la cartera de clientes para su uso directo en una hoja de cálculo.

No facturamos ningún gasto de salida y no sometemos la devolución a condición alguna: ni pago íntegro de los importes pendientes, ni preaviso respetado, ni entrevista previa.

3. Si Vigicap cierra

Nos comprometemos contractualmente a:

• avisarle con al menos 3 meses de antelación del cese del servicio, por correo electrónico a todos los administradores y mediante un aviso en la aplicación;
• mantener disponibles el servicio y la exportación durante toda la duración de ese preaviso;
• mantener disponible la exportación durante 30 días más después del cierre de las demás funcionalidades;
• publicar la documentación de la estructura de los datos exportados, para que otra herramienta u otro prestador pueda retomarlos sin nosotros;
• eliminar los datos de producción en un plazo de 30 días desde su solicitud escrita, que puede presentarse en cualquier momento tras el fin del contrato. La eliminación es manual: hasta la fecha no hay ninguna depuración automática, extremo que recoge también el contrato de encargo de tratamiento.

Una precisión que importa: las copias de seguridad no se borran a petición. Se sobrescriben con la rotación normal del sistema de copias, y hoy no garantizamos un plazo máximo para que eso ocurra. El contrato de encargo de tratamiento lo dice en los mismos términos: dos páginas que se contradijeran en este punto no valdrían nada, ni para usted ni para nosotros.

4. Lo que no prometemos

Los compromisos anteriores presuponen un cierre ordenado. Sería deshonesto afirmar que cubren todos los casos:

• Hoy no existe ningún depósito de código ni de datos ante un tercero, ni ningún dispositivo de continuidad en caso de impedimento repentino del editor. Es el límite real de una organización de este tamaño, y precisamente por eso la exportación es libre, completa e inmediata: la mejor protección de la que dispone es una copia reciente en su poder, no una cláusula.
• Le recomendamos exportar periódicamente — un trimestre es un ritmo razonable — y conservar el archivo con sus propias copias de seguridad. Esa recomendación no nos exime de nada; le hace independiente de nosotros.
• No garantizamos que sus datos puedan ser retomados automáticamente por una herramienta de terceros: garantizamos que son completos, documentados y están en un formato estándar. La importación depende de la herramienta que usted elija.
• La sociedad editora es NEXTLAB, inscrita en Francia; sus datos figuran en el aviso legal. Los compromisos de esta página se recogen en las condiciones contractuales firmadas con cada cliente.

5. Eliminación

Puede solicitar en cualquier momento la eliminación de su cuenta y de todos sus datos. La solicitud se tramita manualmente en un plazo de 30 días: todavía no existe un botón de autoeliminación en la aplicación, y preferimos escribirlo antes que dejarlo a su suposición. Exporte sus datos antes de presentar la solicitud — la eliminación es irreversible.

Consulte también el contrato de encargo de tratamiento, que recoge estas obligaciones en virtud del artículo 28.3.g del RGPD, y la política de privacidad.