Bitdefender

Bitdefender es un proveedor rumano de ciberseguridad. La entidad operativa S.C. Bitdefender S.R.L. está registrada en Soseaua Orhideelor 15A (Orhideea Towers), 6.º distrito, Bucarest, Rumanía (ONRC J40/20427/2005, CUI 18189442, NIF RO18189442). El grupo se organiza bajo Bitdefender Holding B.V. (B.V. neerlandesa registrada el 21-07-2016 en La Haya, Maanweg 174, 2516 AB), con la matriz última BILTECH INVESTMENT LTD (Chipre). Bitdefender también opera Bitdefender, Inc. (Santa Clara CA + Fort Lauderdale FL + SOC de San Antonio TX) para clientes estadounidenses, así como filiales operativas regionales en Alemania, Francia, Reino Unido, Australia, Singapur, Indonesia y otros (unas 25 entidades del grupo). El fundador Florin Talpes sigue siendo CEO; la cofundadora Mariuca Talpes es COO.

Controlada por los fundadores con minoría PE. Florin Talpes y la familia Talpes mantienen la mayoría y la dirección estratégica; Vitruvian Partners (PE con sede en Londres) posee una participación minoritaria del 30 % adquirida en diciembre de 2017 por aproximadamente 180 millones USD a una valoración de unos 600 millones USD. Una OPV estadounidense prevista para 2021 fue aplazada; ION Analytics ha indicado una posible ventana de OPV entre 2024 y 2026. Según los datos publicados en mayo de 2025 sobre el ejercicio 2024, la participación del 30 % de Vitruvian sigue vigente, sin que se haya documentado una salida. Por tanto, Bitdefender es de capital privado pero no autofinanciada: los fundadores marcan la dirección estratégica mientras una única firma de capital riesgo cuenta con representación en el consejo y un interés económico minoritario relevante.

Sí, de forma indirecta. La entidad operativa principal en la UE (Bitdefender S.R.L., Rumanía) y la holding neerlandesa (Bitdefender Holding B.V.) quedan fuera del alcance de la CLOUD Act, pero Bitdefender, Inc. (EE. UU. -- registrada en California, con oficinas en Santa Clara CA, Fort Lauderdale FL y el SOC de San Antonio TX desde 2019) está sujeta al derecho estadounidense y podría verse obligada a entregar los datos que procesa. Los clientes de la UE que usan la consola GravityZone Cloud predeterminada se procesan en «Romania, Ireland, or other state members of the European Union» según la política de privacidad corporativa. Los clientes de las SKU soberanas de la UE -- GravityZone sobre OVHcloud SecNumCloud (FR) o SysEleven (DE) -- obtienen compromisos explícitos de Bitdefender de que «customer and configuration data, security events, telemetry is never accessible, transferred, or processed outside the European Union (EU)» con «full immunity from extraterritorial laws». El mecanismo de transferencia estándar de Bitdefender hacia encargados extracomunitarios son las cláusulas contractuales tipo del artículo 46.2 del RGPD.

La consola GravityZone Cloud predeterminada se ejecuta sobre AWS multirregión, con servidores de seguridad ubicados automáticamente en la región AWS más cercana; los agentes de endpoint se conectan al servidor de la región más cercana, por lo que la residencia por defecto va ligada a la región y no al cliente. Para despliegues soberanos de la UE, Bitdefender lanzó dos SKU en octubre de 2025: GravityZone sobre OVHcloud SecNumCloud (anunciado el 2 de octubre de 2025, alojado en Roubaix / Gravelines / Strasbourg) y GravityZone sobre SysEleven OpenStack Cloud (anunciado el 8 de octubre de 2025, en alianza con la firma alemana de ciberseguridad secunet, alojado en Alemania). Cita de la nota de secunet: «With GravityZone on the SysEleven OpenStack Cloud, customers know that their data stays within the EU» (Andrei Florescu, GM Business Solutions). Ambas SKU soberanas cubren EPP, EDR, XDR y seguridad cloud-native. MDR opera 24x7 desde tres SOC en Bucarest, San Antonio y Singapur en turnos follow-the-sun.

Bitdefender opta de forma deliberada por no publicar una lista consolidada de subencargados. La política de privacidad corporativa lo explicita: «due to confidentiality obligations the specific information regarding the processors used will be provided to competent authorities» y «specific information regarding the name and details for each processor used will be provided only to competent authorities». Solo se revelan categorías genéricas -- hosting + WAF en UE y EE. UU.; canales de soporte en directo en UE, EE. UU., Singapur y Reino Unido; soporte offline en UE y EE. UU. El DPA en bitdefender.com/en-us/site/view/data-processing-agreement-for-bitdefender-solutions se publica abiertamente (encargado nombrado: «Bitdefender SRL») e incorporado al License and Services Agreement, con SCC del artículo 46.2 del RGPD para transferencias extracomunitarias. Los clientes que requieran revelaciones específicas de subencargados deben solicitarlas a través de su contrato de tratamiento de datos. De la documentación de arquitectura se infiere: AWS es el subencargado principal de infraestructura para la consola GravityZone Cloud predeterminada; OVHcloud y SysEleven se nombran explícitamente para las SKU soberanas.

ISO/IEC 27001 (declarada para GravityZone) y SOC 2 Type II (auditoría anual AICPA SSAE-16, declarada para GravityZone Business Security Enterprise). El GravityZone Compliance Manager produce informes de cumplimiento para el cliente sobre RGPD, NIS 2, DORA, PCI DSS, CISv8, SOC 2, CMMC 2.0, HIPAA, ISO 27001 y Cyber Essentials del Reino Unido -- son marcos sobre los que se informa, no todos cuentan con certificación propia de Bitdefender. Reconocimientos sectoriales independientes: AV-TEST Top Product 2023-2025, AV-Comparatives Outstanding Security Award, Gartner Magic Quadrant Visionary y Forrester Wave Leader en seguridad de endpoints. Bitdefender es un contribuyente equivalente a CNA a través de Bitdefender Labs (divulgaciones CVE y atribución APT). Las alianzas estratégicas incluyen Europol EC3, FBI, DEA y la Dirección Nacional de Ciberseguridad de Rumanía (DNSC), incluido el programa específico de apoyo en ciberseguridad para Ucrania.