Drata

Qué es

Drata es una plataforma de automatización de cumplimiento y gestión de confianza. Se conecta a tus cuentas de nube, proveedor de identidad, sistema de RR. HH., repositorios de código y equipos, ejecuta pruebas continuas contra los controles de marcos como SOC 2, ISO 27001, HIPAA y GDPR, y guarda la evidencia que el auditor va a muestrear. Igual que Vanta, no emite el informe: eso lo hace una firma de contadores independiente o un organismo certificador, con factura aparte.

Dos adquisiciones y tres lanzamientos de 2026 definen lo que compras hoy:

• SafeBase Trust Center. Drata compró SafeBase por unos $250M en febrero de 2025. SafeBase ahora opera el Trust Center público y AI Questionnaire Assistance, que reemplazó la beta de cuestionarios propia de Drata el 2026-04-30. El 2026-10-14 el SafeBase MCP Server pasó a disponibilidad general y da a clientes MCP como Claude acceso con permisos acotados a la Trust Library, el Trust Center, cuentas, documentos y cuestionarios. Ese servidor MCP cubre solo el lado de confianza, no los controles de GRC.
• Gestión de riesgo de terceros con agentes. Disponible de forma general como producto independiente desde el 2026-09-16. Aplica tus propios criterios escritos a la evidencia de cada proveedor y devuelve citas y una puntuación de riesgo. Drata da a cada proveedor una evaluación de riesgo inherente gratis y cobra solo cuando un proveedor necesita una revisión de seguridad completa, no por número de proveedores.
• AI Agent Governance. Presentado el 2026-06-10 y en disponibilidad limitada desde el 2026-08-04 para empresas que ejecutan agentes en Anthropic; la cobertura de OpenAI, Google Vertex AI y AWS Bedrock sigue en desarrollo. Un sensor en el equipo y un proxy MCP inventarían los agentes, asignan a cada uno un responsable y permisos, bloquean en línea las violaciones de política y las registran en un log a prueba de manipulación.

Drata dice que la usan más de 8,500 organizaciones. Su última cifra pública de ingresos es $100M de ARR en febrero de 2025, y su última ronda con precio es una Serie C de $200M a una valoración de $2B en diciembre de 2022, coliderada por ICONIQ Growth y GGV Capital.

Por qué aparece en los stacks de operaciones

• Las mesas de deals esperan revisiones de seguridad. Un informe SOC 2 que falta o un cuestionario largo frena deals B2B, y RevOps lo siente primero. El Trust Center, junto con las integraciones de Salesforce y HubSpot, permite a los vendedores dar acceso a documentos sin abrir un ticket.
• Ingeniería quiere los controles en código. Compliance as Code y la Open API vienen en todos los planes, y las conexiones y pruebas personalizadas empiezan en Advanced. Los equipos que quieren los checks en sus propios repositorios terminan aquí más a menudo que en Vanta.
• Legal Ops es dueño de los papeles de proveedores. El producto de TPRM con agentes da una cola de revisión de proveedores con citas de evidencia, que es lo que un abogado de privacidad o de compras necesita para defender una decisión.

Precios

Drata publica el contenido de los planes, pero no los precios. Foundation cubre hasta 50 empleados y un marco premapeado (SOC 2, ISO 27001, Cyber Essentials, HIPAA o GDPR), con Trust Center Standard y asistencia para hasta 100 cuestionarios. Advanced abre cualquier marco, conexiones y pruebas personalizadas y cuestionarios estándar ilimitados. Enterprise suma Risk Management Pro, Compliance as Code Pro y revisiones de acceso de usuarios; la evaluación de TPRM con agentes es un add-on ahí.

Lo que pagan los compradores: Vendr reporta una mediana de $24,934 al año sobre 236 compras, con un rango de $9,415 a $68,250. Sus franjas son $12,000-$28,000 por debajo de 50 empleados, $25,000-$50,000 entre 50 y 250 empleados, $40,000-$65,000 para programas con varios marcos y $60,000-$120,000+ por encima de 250 empleados. Suma $5,000-$20,000 de ayuda en la implementación si la contratas, más los honorarios del auditor. Vendr sitúa los descuentos multianuales en 15-25% y los aumentos típicos en la renovación en 5-10%.

Ideal para

Responsables de seguridad o GRC en empresas B2B SaaS de 50 a 1,000 empleados cuyos ingenieros quieren las pruebas de cumplimiento en código, y cuyo equipo de ventas necesita un Trust Center que responda cuestionarios y dé acceso a documentos desde el CRM. También encaja para equipos legales o de compras que quieren revisar proveedores contra sus propios criterios en vez de pagar una licencia por número de proveedores.

No es para: una startup de 15 personas que busca su primer SOC 2 con el presupuesto más chico; Comp AI o Sprinto cuestan menos. Y no es para equipos cuyos agentes de IA corren hoy sobre todo en OpenAI o Bedrock, porque Agent Governance todavía no los cubre.

Puntos de atención

• Foundation se queda corto rápido. Un solo marco y un tope de 50 empleados hacen que un segundo marco o una ronda de contrataciones obliguen a hablar de Advanced. La protección: cotiza Advanced junto a Foundation en la primera negociación y consigue por escrito el precio del add-on por marco antes de usar el botón «agregar marco» dentro de la app, que salió el 2026-10-16.
• Las renovaciones suben con la plantilla. La protección: fija la franja de empleados en la orden de compra y limita los aumentos de renovación a 5-8%, algo que según Vendr los compradores consiguen cuando lo piden de entrada.
• Dos productos bajo un mismo logo. El Trust Center, las herramientas de cuestionarios y el servidor MCP vienen de SafeBase; los controles y la evidencia vienen de Drata. La protección: en la demo, pide al proveedor que muestre un cambio de control que llegue al Trust Center sin volver a subir nada a mano, y confirma qué alcances MCP recibe de verdad tu cliente de IA.
• Las respuestas de la IA salen con tu nombre. La protección: exige que un responsable con nombre apruebe las respuestas de cuestionarios sobre cualquier control que haya cambiado en los últimos 12 meses.

Alternativas, y cuándo elegirlas

Vanta es el líder del segmento por tamaño: $300M de ARR y más de 16,000 clientes en abril de 2026, con una mediana en Vendr cercana a $20,000. Elige Vanta cuando quieras la red de auditores e integraciones más grande y un servidor MCP alojado, todavía en beta, que llega a los propios controles.

Secureframe arranca en unos $7,500 al año. Elígelo cuando quieras más acompañamiento directo del proveedor durante la primera auditoría.

Sprinto apunta a equipos sensibles al costo, muchas veces fuera de EE. UU. Elígelo para un primer SOC 2 con menos de 100 empleados cuando el precio pesa más que la marca.

El competidor de más rápido crecimiento es Comp AI, una plataforma open source con licencia AGPLv3 que levantó una Serie A de $34M el 2026-09-17. Elígelo para autoalojar el sistema o para evitar una licencia de cinco cifras en un primer SOC 2.

Si ya usas OneTrust para privacidad, cotiza sus módulos de GRC antes de sumar un segundo sistema de registro. Para gobernar agentes en varios proveedores de modelos, una capa dedicada como Zenity o WitnessAI cubre más hoy. Para acelerar la revisión de proveedores sin una plataforma, mira la skill de cuestionario de due diligence de proveedores.