Seguridad y cumplimiento del backup de Pipedrive: GDPR, ISO 27001, NIS2

El problema de la responsabilidad compartida

Como la mayoría de las plataformas SaaS, Pipedrive opera bajo un modelo de responsabilidad compartida: ellos protegen la infraestructura y la disponibilidad de la plataforma; los datos que introduces — y la capacidad de recuperarlos tras una eliminación accidental o una edición masiva fallida — siguen siendo tu responsabilidad. Los auditores lo saben. Por eso «el proveedor tiene backups» no supera una evaluación.

Dónde encaja un backup independiente en tu marco de cumplimiento

• ISO 27001 (A.8.13) — exige copias de seguridad de la información, probadas y protegidas. Un historial de instantáneas diarias fechadas es evidencia directa.
• SOC 2 (Disponibilidad y Confidencialidad) — los datos de los clientes deben ser recuperables. Un archivo independiente y descargable demuestra que no dependes de un solo proveedor.
• NIS2 — para las empresas de la UE dentro de su ámbito, el backup y la recuperación ante desastres son requisitos explícitos. Los datos del CRM entran en el ámbito cuando soportan operaciones críticas.
• GDPR — el art. 32 exige la capacidad de restablecer la disponibilidad de los datos personales tras un incidente. Tus registros de clientes son datos personales.

Cómo se protegen tus propios datos de backup

• OAuth de solo lectura — nunca vemos tu contraseña de Pipedrive, y puedes revocar el acceso en cualquier momento desde tu configuración de Pipedrive.
• Cifrado — los tokens de acceso y los archivos de backup están cifrados en tránsito (TLS) y en reposo (AES-256).
• Alojamiento en la UE — las instantáneas se almacenan en servidores de la Unión Europea.
• Sin uso secundario — tus datos se usan solo para prestar el servicio de backup. Nunca se analizan, comparten ni venden. Eliminación a petición, como exige el GDPR.