Cómo protege Google la seguridad y la privacidad de tu organización

Google Cloud ha superado satisfactoriamente una auditoría de seguridad SOC 2/3 realizada por un auditor externo independiente. Para Google, es un orgullo proporcionar a los administradores de Google Cloud la tranquilidad de saber que sus datos están protegidos por los estándares de seguridad SOC 2/3 del sector. Consulta más información sobre el informe público SOC 3. Puedes descargar una copia de nuestro informe SOC 2 en el Administrador de informes de cumplimiento de Cloud. 

El auditor externo independiente ha comprobado que Google Cloud aplica los controles y protocolos siguientes:

• Seguridad lógica: los controles se aseguran, en la medida de lo razonable, de que el acceso lógico a los sistemas de producción y a los datos de Google Cloud esté restringido a las personas autorizadas.
• Privacidad: los controles se aseguran, en la medida de lo razonable, de que Google haya implementado políticas y procedimientos para preservar la privacidad de los datos de los clientes dentro de los servicios de Google Cloud.
• Seguridad física de los centros de datos: los controles se aseguran, en la medida de lo razonable, de que los centros de datos donde se aloja la información de Google Cloud y las oficinas corporativas estén protegidos.
• Gestión de incidentes y disponibilidad: los controles se aseguran, en la medida de lo razonable, de que los sistemas de Google Cloud sean redundantes y de que los incidentes se notifiquen, se atiendan y se registren correctamente.
• Gestión de cambios: los controles se aseguran, en la medida de lo razonable, de que el desarrollo y las modificaciones que se aplican a Google Cloud se sometan a pruebas y a revisiones de código independientes antes de su lanzamiento.
• Organización y administración: los controles se aseguran, en la medida de lo razonable, de que la gestión ofrezca la infraestructura y los mecanismos necesarios para controlar y comunicar las iniciativas de la empresa que afecten a Google Cloud.

El RGPD de la UE sustituye a la Directiva sobre Protección de Datos de la UE de 1995. El RGPD refuerza los derechos de las personas respecto a los datos personales que les conciernen y su objetivo es unificar las leyes de protección de datos en toda la Unión Europea, independientemente de dónde se traten dichos datos.

Puedes tener la seguridad de que Google está comprometido con el cumplimiento del RGPD en Google Cloud. También nos comprometemos a ayudar a nuestros clientes en el cumplimiento del RGPD proporcionándoles las férreas medidas de protección de la privacidad y la seguridad que hemos integrado en nuestros servicios y contratos a lo largo de los años.

Entre otros aspectos, los responsables del tratamiento de datos tienen la obligación de utilizar únicamente encargados del tratamiento de datos que proporcionen garantías suficientes para implementar las medidas técnicas y organizativas que crean apropiadas de modo que el tratamiento de los datos cumpla los requisitos del RGPD.

Nuestros Términos del Tratamiento de Datos reflejan claramente nuestro compromiso con la privacidad de los clientes. Hemos ido perfilando estos términos a lo largo de los años basándonos en las sugerencias de nuestros clientes y los organismos reguladores, y los hemos actualizado para reflejar los cambios introducidos por el RGPD.

Visita nuestro sitio sobre el RGPD para obtener más información.

El RGPD se aplicará directamente a los encargados del tratamiento de datos (por ejemplo, los proveedores de servicios en la nube, como Google) independientemente de los compromisos contractuales que estos contraigan al respecto. En Google nos hemos comprometido a cumplir con el RGPD y a ayudar a nuestros clientes a cumplir también con este reglamento. Consulta nuestra Adenda sobre Tratamiento de Datos actualizada conforme al RGPD para ayudarte a evaluar si cumples con este reglamento cuando utilizas los servicios de Google Cloud.

Puedes aceptar la Adenda sobre Tratamiento de Datos siguiendo el proceso online.

La infraestructura de Google se encuentra distribuida estratégicamente entre varios centros de datos de todo el mundo. De hecho, algunas instalaciones de almacenamiento de datos de Google se encuentran en países no pertenecientes al Espacio Económico Europeo (EEE). Además, el modelo de asistencia ininterrumpida de Google Cloud asegura una prestación ágil y eficaz de los servicios en todo el mundo, y algunos de los centros de asistencia se encuentran fuera del EEE. Por estos motivos, no podemos indicarte el centro de datos exacto en el que se almacenan tus datos.

Hacemos que resulte muy fácil utilizar la seguridad de las cuentas de Google proporcionando a los empleados acceso seguro mediante inicio de sesión único (SSO) a un gran número de aplicaciones de software como servicio (SaaS) y de aplicaciones personalizadas en ordenadores y dispositivos móviles. Los proveedores de identidades (IdP) pueden utilizar nuestra capa de autenticación OpenID Connect (OIDC) con muchas aplicaciones de SaaS de Google Workspace Marketplace. OIDC es compatible con el lenguaje de marcado para confirmaciones de seguridad (SAML) 2.0 que se usa con muchos proveedores conocidos de SaaS. Asimismo, hacemos que a los administradores les resulte fácil añadir nuevas integraciones de aplicaciones SAML personalizadas. Las organizaciones pueden realizar la integración por ellas mismas, o bien en colaboración con un partner de Google.

Para generar las contraseñas de las cuentas de usuario nuevas, Google utiliza una combinación de símbolos, letras mayúsculas y minúsculas, y números. La longitud de la contraseña será del mínimo obligatorio (8) o la longitud mínima de contraseña que hayas establecido para tu dominio, la que sea más larga.

Cuando un administrador o un usuario final elimina datos de Google Cloud, los eliminamos de acuerdo con el contrato de ese cliente y nuestra Política de Privacidad.

Si un administrador elimina una cuenta de usuario, los datos no pueden recuperarse. Consulta el Centro de Ayuda si quieres conocer las prácticas recomendadas para eliminar cuentas de usuario.

Si quieres recuperar mensajes de correo, Google ofrece productos de archivado adicionales (Google Vault) que pueden complementar las funciones de las ediciones Business y Enterprise de Google Workspace. Para obtener información sobre productos que no estén cubiertos por soluciones de recuperación de Google Vault, consulta Google Workspace Marketplace, donde alguno de nuestros partners podría ofrecerte una solución adecuada a tus necesidades.

Los spammers pueden falsificar la dirección de envío en los mensajes de correo, de modo que parezca que el spam procede del dominio de una organización respetable. Esta práctica, denominada suplantación de identidad (phishing), suele tener como fin obtener datos sensibles. Para ayudar a evitar la suplantación de identidad, Google participa en el programa de autenticación basada en dominios para mensajes, informes y conformidad DMARC, que permite que los propietarios de dominios indiquen a los proveedores de correo cómo gestionar los mensajes no autenticados de su dominio. Para implementar DMARC, los clientes de Google Cloud deben crear un registro DMARC en su configuración de administrador e implementar un registro SPF y claves DKIM en todo el correo saliente.

De conformidad con la Política de Uso Aceptable:

• Si Google detecta que un usuario del servicio de correo electrónico de Google Workspace envía spam, se reserva el derecho de suspender su cuenta inmediatamente.
• Si el spam afecta a todo el dominio, Google se reserva el derecho de suspender toda la cuenta y de rechazar el acceso de administrador a todos los servicios de Google Cloud.

Solo el propietario y los administradores del nombre de dominio pueden crear una cuenta de administrador de Google Cloud. Durante el proceso de registro, se solicita a los administradores de Google Cloud que verifiquen el control del dominio. Para ello, deben modificar los registros DNS (sistema de nombres de dominio). Sin esta verificación, Google no permite crear una cuenta de administrador. Para administrar activamente un servicio de Google en un dominio, es necesario verificar la propiedad de dicho dominio.

Una vez que el administrador haya verificado la propiedad, puede otorgar privilegios de administrador a otros usuarios de la cuenta a su discreción.

Los usuarios que no sean administradores del dominio también pueden ponerse en contacto con el equipo de Asistencia para solicitar acceso de administrador. En el proceso habitual de verificación del dominio, se comprueba que el solicitante tenga derechos de administrador en el dominio.

Por último, cualquier usuario que tenga acceso a tu dirección de correo alternativa registrada puede iniciar un cambio de contraseña y acceder a la cuenta de administrador principal.

De conformidad con el contrato de cliente de tu dominio, los administradores de Google Cloud de un dominio pueden acceder a todas las cuentas de usuario y a los datos asociados, tal como se describe en nuestra Política de Privacidad.

Como administrador del dominio, puedes controlar todos sus nombres de usuario y contraseñas. Puedes acceder a las cuentas de tus usuarios en virtud de lo establecido en el contrato con el cliente. No obstante, te exigimos que dispongas de una política que regule estas acciones y se la comuniques a los usuarios.

Si detectamos que se ha enviado spam, lo notificaremos a la dirección de correo alternativa registrada.