Papermark cumple con SOC 2 Tipo II. La auditoría abarca los Criterios de Servicios de Confianza de la AICPA (seguridad, disponibilidad, confidencialidad) en nuestra sala de datos virtual, plataforma de compartición de documentos y análisis. Para conocer la postura completa de seguridad y cumplimiento (cifrado, regiones de alojamiento, certificaciones, subprocesadores), consulta la página de seguridad de Papermark.
Esta guía explica qué significa SOC 2 Tipo II, qué abarca nuestra auditoría y por qué es relevante para los equipos de adquisiciones que evalúan Papermark para fusiones y adquisiciones, rondas de financiación y flujos de trabajo regulados.
SOC 2 (Controles de Sistemas y Organizaciones 2) es un riguroso procedimiento de auditoría desarrollado por el Instituto Americano de Contadores Públicos Certificados (AICPA). Evalúa cómo las organizaciones de servicios gestionan los datos de los clientes basándose en cinco Criterios de Servicios de Confianza: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Los informes Tipo II evalúan la eficacia operativa de los controles durante un período de auditoría de 6 a 12 meses, no solo su diseño en un momento específico.
SOC 2 es la certificación de seguridad y controles dominante para SaaS B2B en Norteamérica y es cada vez más esperada en Europa y Asia-Pacífico. Para las salas de datos virtuales que gestionan fusiones y adquisiciones, recaudación de fondos y diligencias reguladas, SOC 2 Tipo II es un requisito básico de adquisición, no un diferenciador.
Las auditorías SOC 2 se enmarcan en torno a cinco Criterios de Servicios de Confianza de AICPA. Cada auditoría SOC 2 incluye Seguridad (los Criterios Comunes); se añaden criterios adicionales según el alcance de la organización de servicios.
Seguridad. Protección contra el acceso no autorizado, divulgación, alteración y daño. Abarca controles de acceso, cifrado, seguridad de red, respuesta a incidentes y gestión de cambios. Requerida en cada auditoría SOC 2.
Disponibilidad. Disponibilidad del sistema para operación y uso según lo comprometido o acordado. Cubre tiempo de actividad, resiliencia, recuperación ante desastres y planificación de capacidad.
Integridad del procesamiento. El procesamiento del sistema es completo, válido, preciso, oportuno y autorizado. Relevante para sistemas que realizan cálculos o procesamiento automatizado (menos central para un VDR).
Confidencialidad. La información designada como confidencial está protegida. Abarca clasificación de datos, controles de acceso, retención y eliminación segura.
Privacidad. La información personal se recopila, usa, retiene, divulga y elimina de acuerdo con los Principios de Privacidad Generalmente Aceptados (GAPP) de AICPA. Se solapa con GDPR pero es un marco distinto.
La auditoría SOC 2 Tipo II de Papermark cubre Seguridad (Criterios Comunes requeridos) más Disponibilidad y Confidencialidad. La Privacidad se aborda mediante controles alineados con GDPR documentados por separado en nuestro resumen de cumplimiento GDPR.
SOC 2 Tipo II es la certificación de cumplimiento más solicitada durante las evaluaciones de proveedores de VDR. Cuatro flujos de trabajo específicos dependen de ella.
Adquisiciones en industrias reguladas. Bancos, organizaciones de salud, seguros y entidades vinculadas al gobierno generalmente requieren SOC 2 Tipo II como línea base antes de contratar cualquier proveedor en la nube. Sin ella, el proveedor no supera el filtro de adquisición.
Diligencia debida de proveedores empresariales. Las grandes empresas que ejecutan procesos de gestión de riesgo de proveedores solicitan rutinariamente el informe SOC 2 Tipo II (bajo NDA) como parte de la incorporación. Esto es una práctica estándar de adquisición, no un requisito exigente.
Salas de datos para fusiones, adquisiciones y recaudación de fondos. Los LPs institucionales y adquirentes estratégicos preguntan cada vez más qué certificaciones de cumplimiento posee el proveedor de VDR de su objetivo. SOC 2 Tipo II es la respuesta que cierra la conversación.
Responsabilidad post-incidente. En caso de un incidente de seguridad, contar con un informe SOC 2 Tipo II vigente más un programa de monitoreo continuo reduce materialmente la responsabilidad y exposición regulatoria en comparación con no tener ninguna certificación.
Un informe SOC 2 Tipo I evalúa si los controles están adecuadamente diseñados en un momento específico. Un informe SOC 2 Tipo II evalúa si los controles están adecuadamente diseñados y operan eficazmente durante un período de auditoría definido (generalmente 6-12 meses).
El Tipo I es más fácil de lograr pero más débil como certificación: confirma que los controles existen, no que funcionen de manera confiable a lo largo del tiempo. El Tipo II es la expectativa estándar de la industria para proveedores SaaS maduros que manejan datos sensibles de clientes. Papermark es auditado anualmente bajo SOC 2 Tipo II.
Los marcos de cumplimiento no son intercambiables. La siguiente tabla compara los cuatro marcos más comunes para la adquisición de VDR.
| Marco | Alcance | Auditoría/Certificación | Común en |
|---|---|---|---|
| SOC 2 Type II | Criterios de Servicios de Confianza de AICPA | Auditoría anual, informe bajo NDA | Centrado en EE. UU., SaaS B2B |
| ISO 27001 | Sistema de gestión de seguridad de información | Certificación formal por organismo acreditado | Empresas de la UE y globales |
| GDPR | Protección de datos personales de la UE | Cumplimiento legal, DPA, lista de subprocesadores | Cualquier procesamiento de datos de residentes de la UE |
| HIPAA | PHI de atención médica de EE. UU. | BAA, programa de cumplimiento (sin certificación formal) | Atención médica, biotecnología, dispositivos médicos |
Muchos clientes empresariales solicitan múltiples marcos. Papermark mantiene el cumplimiento de SOC 2 Type II y GDPR como estándar, ofrece compatibilidad con ISO 27001 mediante implementación autohospedada en la infraestructura del cliente, y proporciona preparación para HIPAA a través de autohospedaje más BAA firmado en contratos empresariales.
El registro de auditoría de solo anexión captura cada visualización y descarga para el criterio de Confidencialidad de SOC 2:
La marca de agua dinámica por sesión marca cada página con el correo electrónico del visualizador, IP y marca de tiempo:
Para consultar la lista actualizada de certificaciones, regiones de alojamiento, estándares de cifrado y el flujo de solicitud de NDA de SOC 2, visita la página de seguridad de Papermark.
El informe SOC 2 Type II de Papermark está disponible para clientes empresariales y prospectos bajo NDA mutuo. Para solicitar el informe:
El informe incluye la opinión del auditor independiente, descripción del sistema y sus controles, resultados de las pruebas de efectividad operativa y la declaración de la dirección.
| Marco de trabajo | Estado de Papermark |
|---|---|
| SOC 2 Type II | ✔️ Auditado anualmente |
| GDPR | ✔️ Conforme, DPA disponible |
| ISO 27001 | Mediante despliegue autoalojado en infraestructura del cliente |
| HIPAA | Mediante autoalojamiento + BAA firmado (plan empresarial) |
| CCPA | ✔️ Conforme |
| FDA 21 CFR Part 11 | Mediante despliegue autoalojado con exportación de registro de auditoría |
| Cifrado en reposo | AES-256 |
| Cifrado en tránsito | TLS 1.3 |
| MFA | ✔️ |
| Opción autoalojada | ✔️ (código abierto AGPL) |
Cumplimiento del RGPD de Papermark explicado: DPA, subencargados, residencia de datos, derechos de los interesados y cómo cumplimos los requisitos de protección de datos de la UE para flujos de trabajo de VDR.
Las 17 mejores salas de datos virtuales en 2026 comparadas en precio, seguridad y caso de uso ideal para flujos de trabajo de fusiones y adquisiciones, recaudación de fondos, debida diligencia, OPI y private equity.
Los 15 mejores data rooms virtuales para due diligence en 2026, comparados en seguridad, precios, funcionalidades y adecuación a cada operación. Incluye Papermark, Datasite, Intralinks, iDeals, DealRoom, Drooms y más.
