Alcance del SGSI

Este documento define el alcance del Sistema de Gestión de Seguridad de la Información (SGSI) para ISMS Copilot, operado por Better ISMS (Francia). Identifica los límites y la aplicabilidad del SGSI, considerando nuestro contexto organizacional, las partes interesadas y las interfaces con servicios externos.

Este documento de alcance sigue la Cláusula 4.3 de la norma ISO 27001:2022 y se revisa anualmente o cuando ocurren cambios significativos en nuestros servicios, integraciones o estructura organizacional.

Organización

Campo	Valor
Legal Entity	Better ISMS
Jurisdiction	France (EU)
Product	ISMS Copilot — asistente de cumplimiento impulsado por IA
Business Model	B2B SaaS (basado en suscripción)
Users	~800 (principalmente en la UE, disponible a nivel global)

Declaración del Alcance del SGSI

El SGSI se aplica al desarrollo, operación y gestión de la plataforma ISMS Copilot — una aplicación SaaS alojada en la nube e impulsada por IA que ayuda a las organizaciones con el cumplimiento del sistema de gestión de seguridad de la información.

Aplicaciones y Servicios en el Alcance

Componente	Tecnología	Alojamiento
Frontend web application	React, TypeScript, Vite	Vercel (global CDN)
Backend chat service	Deno, TypeScript	Fly.io (CDG region, Paris)
Database and authentication	PostgreSQL, Supabase Auth	Supabase Cloud (EU — Frankfurt)
File storage	S3-compatible	Supabase Storage (EU — Frankfurt)
Edge functions	Deno	Supabase Edge

Integraciones de Terceros en el Alcance

Integración	Propósito	Cobertura del Alcance
Anthropic (Claude)	Proveedor de chat con IA por defecto	Flujos de datos, gestión de claves, monitoreo del proveedor
OpenAI (GPT-4.1)	Detección de documentos	Flujos de datos, gestión de claves
xAI (Grok)	Formateo de documentos	Flujos de datos, gestión de claves
Mistral AI	Modo de Protección Avanzada de Datos	Flujos de datos, gestión de claves, verificación ZDR
Google (Gemini)	Proveedor alternativo de chat con IA	Flujos de datos, gestión de claves
Stripe	Procesamiento de pagos	Seguridad de webhooks, gestión de suscripciones
ConvertAPI	Conversión de archivos (PDF, DOCX, XLSX)	Flujos de datos, manejo de archivos
SendGrid	Correos electrónicos de alertas de seguridad	Entrega de alertas

Datos en el Alcance

Categoría de Datos	En el Alcance
Mensajes de chat de usuarios y respuestas de IA	Sí
Archivos cargados y contenido extraído	Sí
Datos de cuentas de usuario y autenticación	Sí
Metadatos de suscripción y facturación	Sí
Configuraciones de usuario e instrucciones del espacio de trabajo	Sí
Registros de consumo de tokens y uso	Sí
Registros de la aplicación e informes de errores	Sí

Procesos en el Alcance

Proceso	En el Alcance
Ciclo de vida del desarrollo de software (SDLC)	Sí
Gestión de cambios y despliegues	Sí
Detección, respuesta y recuperación de incidentes	Sí
Evaluación y tratamiento de riesgos	Sí
Gestión y revisión de accesos	Sí
Gestión de vulnerabilidades	Sí
Gestión de proveedores	Sí
Protección de datos y privacidad	Sí
Continuidad del negocio y recuperación ante desastres	Sí

Herramientas de Monitoreo y Desarrollo en el Alcance

Herramienta	Propósito	Cobertura del Alcance
Sentry	Seguimiento de errores (frontend + backend)	Eliminación de PII, higiene de registros
PostHog	Analítica del producto	Minimización de datos
BetterStack	Monitoreo de tiempo de actividad, página de estado	Configuración de alertas
GitHub	Código fuente, pipelines de CI/CD	Control de acceso, gestión de secretos, seguridad de pipelines
Vercel CI/CD	Despliegue del frontend	Seguridad de despliegues

Exclusiones del Alcance

Exclusión	Justificación
Infraestructura física de oficina	El equipo trabaja completamente en remoto; no hay oficina física que proteger
Dispositivos personales de los empleados	Entorno BYOD; los controles de seguridad están en la capa de aplicación y plataforma, no en el endpoint
Seguridad del lado del cliente	Los entornos, endpoints y redes internas de los clientes están fuera del control de ISMS Copilot
Operaciones internas de terceros	La seguridad interna de los proveedores está gobernada por sus propias certificaciones (SOC 2, ISO 27001) y nuestra política de gestión de proveedores
Sitio web de marketing	Sitio estático de marketing en infraestructura separada; sin procesamiento de datos de usuario

Diagrama de Límites del SGSI

El límite del SGSI incluye la gestión de interfaces con entidades externas:

Usuarios finales se conectan a través de navegadores al Frontend (Vercel), que se comunica con Supabase (DB/Auth/Storage/Edge Functions) y el servicio de chat en Fly.io
Fly.io Chat Service se conecta con Proveedores de IA (Anthropic, OpenAI, xAI, Mistral, Gemini) y la base de datos de Supabase
Stripe y ConvertAPI se acceden a través de Supabase Edge Functions
GitHub Actions gestiona el pipeline de CI/CD
Sentry, PostHog y BetterStack proporcionan monitoreo y observabilidad

Todos los datos en reposo se almacenan en infraestructura de la UE (Fráncfort). El servicio de chat backend se ejecuta en París (CDG). Las llamadas a las API de los proveedores de IA pueden transitar a endpoints fuera de la UE, lo cual está documentado en nuestra Evaluación de Impacto de Transferencia.

Estándares y Marcos Aplicables

Estándar	Alcance de Aplicación
ISO/IEC 27001:2022	SGSI completo — todas las cláusulas y controles aplicables del Anexo A
ISO/IEC 42001:2023	Sistema de Gestión de IA — aplicable a los componentes de IA
GDPR	Todas las actividades de procesamiento de datos personales
SOC 2	Criterios de Servicios de Confianza — Seguridad, Disponibilidad, Confidencialidad
Ley Francesa de Protección de Datos	Implementación nacional del GDPR

Revisión del Alcance

Este documento de alcance se revisa anualmente, cuando se añaden nuevos servicios o integraciones, cuando cambia la estructura organizacional, al entrar en nuevos mercados o jurisdicciones, y tras los hallazgos de la revisión de la dirección. Los cambios en el alcance del SGSI requieren la aprobación del CEO y desencadenan una revisión de la Declaración de Aplicabilidad, la evaluación de riesgos y las políticas afectadas.

On this page