¿quién puede acceder a todos a nuestros datos en el dossier?

El acceso es una opción de configuración, no una opción de plataforma

No determinamos quién puede acceder al dossier de cadena. La propia organización lo regula, por usuario y por rol. Alguien que solo pueda completar datos de identidad — como la denominación social o el número de registro del asiento — no necesita tener acceso a, por ejemplo, el estado de ISO 27001 o las respuestas dirigidas a bancos. Se recomienda separar esto una vez que varios colegas trabajen en listas, ya que no todos los departamentos necesitan los mismos datos para desempeñar su función.

En la práctica, esto funciona con roles: un administrador que crea cuentas y asigna derechos, y usuarios que solo pueden leer o también pueden confirmar. Los campos confidenciales — como cifras de facturación o detalles sobre el seguro de responsabilidad civil — pueden protegerse por separado, incluso para usuarios que tienen acceso al dossier. Quién establece esto y cuán estricto sea, es una opción de la organización. Almacenamos los datos y los mostramos a quienes estén autorizados; no tomamos decisiones sobre el contenido sobre quién ve cada campo.

Por qué no tenemos un rol en esto

Esto se deduce de cómo está configurada la plataforma: construimos el lado de la respuesta, nunca iniciamos sesión en un portal de un cliente y no leemos listas de preguntas presentadas. La gestión del acceso al dossier propio es, por lo tanto, al igual que el mantenimiento de el sector en el que opera la empresa o el número de empleados: datos y configuración del cliente, algo sobre lo que no emitimos un juicio. Esto es independiente de los requisitos que pueden aparecer en los cuestionarios sobre la gestión del acceso como medida de control — como se menciona en el Anexo A de ISO/IEC 27001 o en las diez medidas del artículo 21, apartado 2, de la Directiva NIS2. Estos requisitos se refieren a cómo está organizada la propia organización del cliente, no a las configuraciones dentro de esta plataforma.