Corma vs Okta

La plataforma parisina de IAM más gobernanza SaaS frente al estándar de acceso cotizado en Nasdaq

Corma es el producto de CORMA SAS — una société par actions simplifiée francesa, registrada en París bajo SIREN 953 523 271, constituida en junio de 2023, con entre 11 y 50 empleados en 96bis Boulevard Raspail. La empresa es de fundación y propiedad francesas; una ronda seed de 3,5 millones de euros en diciembre de 2025 fue liderada por XTX Ventures. Tanto en 2025 como en 2026 Gartner nombró a Corma en el Magic Quadrant para SaaS Management Platforms — el reconocimiento formal de analistas que suele ser un requisito de cualificación para las compras empresariales.

Corma cubre una superficie combinada distintiva: IAM del personal (single sign-on, provisioning joiner-mover-leaver, solicitudes de acceso en autoservicio, control de acceso basado en roles, revisiones de acceso) más gestión SaaS (descubrimiento de shadow IT, visibilidad del gasto en licencias, detección de asientos sin usar, inventario de aplicaciones). La mayoría de los competidores hace una cosa u otra; Corma hace ambas bajo una sola plataforma, alojada en Francia en AWS (región de París), con certificaciones ISO 27001 y SOC 2.

Okta es una unidad de negocio de Okta, Inc. — incorporada en Delaware, cotizada en Nasdaq (OKTA), con sede en San Francisco, California. Okta es el líder del mercado de IAM empresarial — producto maduro, ecosistema profundo de partners y amplias capacidades de federación empresarial. Su complemento Okta Identity Governance añade revisiones de acceso y gestión del ciclo de vida; combinado con una plataforma separada de gestión SaaS (Zluri, Torii) se aproxima a la superficie combinada de Corma. Bajo la CLOUD Act y FISA Section 702, sin embargo, Okta como corporación estadounidense es legalmente compelible a divulgar datos de identidad del cliente independientemente de la región de alojamiento.

Para las organizaciones europeas donde el sistema de identidad conlleva una exposición material regulatoria o de soberanía — y las rúbricas de compras de 2026 preguntan cada vez más directamente por esta cuestión — Corma es la alternativa europea estructural.

Comparación jurisdiccional

	Corma	Okta
Sede	París, Francia	San Francisco, California, EE. UU.
Entidad corporativa	CORMA SAS (SIREN 953 523 271)	Okta, Inc. (Delaware; Nasdaq: OKTA)
Fundada	Junio de 2023 (fundadores franceses)	2009
Propiedad	Privada, con respaldo de VC (3,5 M€ seed, diciembre de 2025, XTX Ventures)	Pública (Nasdaq: OKTA)
Exposición CLOUD Act	⚠️ Indirecta (sin matriz estadounidense; AWS región de París + subencargados estadounidenses)	Sí (matriz incorporada en EE. UU.)
Exposición FISA 702	Ninguna	Sí
Residencia de datos	Francia (AWS, región de París)	Regiones globales incl. UE; Okta no puede eximir la exposición de matriz estadounidense
Certificaciones	ISO 27001, SOC 2, nativa RGPD	ISO 27001, SOC 2, FedRAMP, HITRUST
Reconocimiento de analistas	Gartner Magic Quadrant SMP 2025 + 2026	Líder Gartner Magic Quadrant AM (desde hace mucho tiempo)

Capacidades del producto

Identidad del personal + Single Sign-On

• Corma: SSO, MFA, control de acceso basado en roles, solicitudes de acceso en autoservicio con flujos de aprobación, provisioning joiner-mover-leaver integrado en todo el stack SaaS.
• Okta: SSO a escala empresarial con el catálogo de federación más profundo del sector — más de 7.000 integraciones de aplicaciones preconstruidas, Adaptive MFA, Universal Directory, Access Gateway para aplicaciones legacy on-premise.

Destacable: la profundidad de federación de Okta sigue siendo la referencia del sector para escenarios empresariales complejos. Corma cubre los casos estándar de IAM del personal más añade gestión SaaS de forma nativa, sin necesidad de una segunda plataforma.

Revisiones de acceso + gobernanza de identidad

• Corma: revisiones de acceso automatizadas con salida de evidencia lista para auditoría — diseñadas directamente para el consumo por auditorías SOX, ISO 27001 e ISAE 3402. Incluidas en la plataforma central.
• Okta: Okta Identity Governance (OIG) proporciona revisiones de acceso y gobernanza del ciclo de vida, pero como tier de compra separado de Okta Workforce Identity.

Destacable: Corma agrupa la gobernanza en el núcleo; el tier Governance de Okta es una línea de coste adicional significativa.

Gestión SaaS + descubrimiento de Shadow IT

• Corma: descubrimiento de aplicaciones en todo el stack SaaS, incluidas herramientas no autorizadas; visibilidad de licencias y gasto; detección de asientos sin usar; desaprovisionamiento automatizado de cuentas con exceso de licencias.
• Okta: sin funciones nativas de gestión SaaS o de gasto en licencias; los clientes complementan Okta con Zluri, Torii, Productiv o BetterCloud (todos con sede en EE. UU.).

Destacable: esta es la diferenciación estructural de Corma — la capacidad de gestión SaaS que Okta requiere una herramienta de partner de matriz estadounidense para añadir.

Provisioning Joiner-Mover-Leaver

• Corma: los flujos de trabajo JML nativos conectan los eventos disparados por RRHH (vía integraciones HRIS como Deel) al provisioning y desaprovisionamiento en todo el stack SaaS conectado. Provisioning zero-touch para roles estándar.
• Okta: Lifecycle Management (un tier de OIG) proporciona flujos de trabajo de provisioning disparados por RRHH con configuración rica de políticas.

Destacable: ambos cubren JML a fondo; la diferencia está en la superficie de integración (los conectores de Okta son más profundos para aplicaciones legacy; el enfoque basado en Agent de Corma cubre el SaaS de cola larga).

Evidencia de auditoría + cumplimiento

• Corma: salida de evidencia lista para auditoría integrada en el flujo de revisiones de acceso — diseñada para ser consumida directamente por auditores SOX, auditores ISO 27001 y marcos equivalentes.
• Okta: OIG produce pistas de auditoría conformes; típicamente consumidas vía exportaciones del System Log más integraciones GRC de terceros.

Modelo de soberanía

La distinción estructural es la matriz corporativa:

• Corma: matriz francesa (CORMA SAS, SIREN 953 523 271); alojada en AWS (región de París); jurisdicción francesa/UE; nativa RGPD. Sin matriz estadounidense; alojado en AWS (región de París) → exposición indirecta a la CLOUD Act a través de un subencargado estadounidense (otros subencargados estadounidenses: Google, GitHub, Vercel, Heroku, PostHog, Browserbase).
• Okta: matriz estadounidense (Okta, Inc., Delaware, Nasdaq: OKTA); regiones UE disponibles para residencia de datos; la CLOUD Act y FISA Section 702 siguen aplicándose a Okta como corporación estadounidense independientemente de dónde residan físicamente los datos.

Para bancos, aseguradoras, administración pública, contratistas de defensa y empresas health-tech francesas sujetas a marcos nacionales de soberanía de datos o compras cercanas a ANSSI, la distinción de matriz corporativa es un elemento formal del registro de riesgos — no una preferencia de marketing. Los sistemas de identidad conservan datos particularmente sensibles (quién tiene acceso a qué, cuándo y cómo) y son cada vez más un objetivo formal de las políticas de compras basadas en la soberanía.

Clientes de referencia

Los casos de estudio públicos de Corma incluyen:

• Brevo (plataforma de email marketing, Francia) — Stefan Schaper, Finance Manager
• Skello (software de RRHH, Francia) — Mihenandi-Fuki Wony, Lead Cloud & IT
• Citel — Adrien Guichard, CEO
• Hivenet — Christophe Torride, Chief of Staff
• Mrge — Thorsten Milhoff, Engineering Manager
• Cobertura adicional: Robovision, Tuesday Capital

La base de referencias abarca empresas tecnológicas francesas y europeas del mercado medio — un perfil natural de adoptante temprano para una plataforma con sede en París y posicionamiento nativo RGPD.

¿Quién debería cambiar?

Corma es la elección estructural para:

• Organizaciones francesas sujetas a compras cercanas a ANSSI o a políticas nacionales de soberanía de datos
• Sector público de la UE donde la jurisdicción de la matriz del sistema de identidad es un elemento de riesgo documentado
• Servicios financieros sujetos a los requisitos de resiliencia operativa de DORA donde la jurisdicción del proveedor debe ser auditable
• Organizaciones health-tech bajo HDS o marcos nacionales equivalentes de datos sanitarios
• Equipos de TI del mercado medio que quieren IAM más gestión SaaS en una única plataforma sin pagar por dos productos separados
• Equipos de CFO/TI centrados en el gasto en licencias que quieren la detección de asientos sin usar que Okta no proporciona de forma nativa
• Empresas que reemplazan una herramienta de gestión SaaS Zluri/Torii/Productiv/BetterCloud por motivos de compras de soberanía europea
• Empresas en fase de crecimiento que buscan el estatus de proveedor reconocido en Gartner MQ con precios adecuados a su escala

Okta sigue siendo la elección correcta para:

• Empresas globales con federación de identidad multi-tenant compleja, brokering SAML personalizado e integraciones profundas con proveedores de identidad empresariales
• Empresas que ejecutan Okta Customer Identity (Auth0) para autenticación de cara al consumidor — Corma no apunta a CIAM
• Organizaciones con despliegues maduros de Okta Access Gateway que integran identidad legacy on-premise
• Titulares de contratos plurianuales con Okta donde el ROI de la migración no justifica el coste del cambio

En resumen

Okta es el líder maduro del mercado en IAM empresarial con una profundidad de federación y una amplitud de ecosistema de partners inigualables. Nada de eso cambia la realidad jurisdiccional subyacente: Okta, Inc. es una corporación estadounidense de Delaware, y el alcance de la CLOUD Act más FISA Section 702 se aplica a los datos de identidad del cliente independientemente de la región de alojamiento.

Para las organizaciones europeas donde la soberanía del sistema de identidad es un criterio formal de compras — y cada vez más para los equipos de TI del mercado medio que buscan combinar IAM del personal más gestión SaaS en una sola plataforma en lugar de pagar por dos — Corma es la elección estructuralmente alineada. CORMA SAS con sede en París (SIREN 953 523 271) bajo jurisdicción francesa; alojada en Francia en AWS; ISO 27001 y SOC 2; nativa RGPD; nombrada en el Gartner Magic Quadrant para SaaS Management Platforms en 2025 y 2026; superficie combinada de IAM más gobernanza SaaS que Okta requiere una herramienta de partner de matriz estadounidense para igualar.

Para el creciente conjunto de organizaciones europeas donde jurisdicción, IAM-más-gobernanza-SaaS combinada y evidencia de cumplimiento lista para auditoría deben responderse conjuntamente — Corma responde a las tres a la vez.

---

¿Buscando más alternativas europeas de IAM y cumplimiento? Ver también: Signicat vs Okta, Tehtris vs CrowdStrike y dScribe vs Collibra.

Preguntas Frecuentes

¿Dónde tiene su sede Corma y cómo afecta esto a la jurisdicción?

Corma es el producto de CORMA SAS, una société par actions simplifiée francesa registrada bajo SIREN 953 523 271, con sede en 96bis Boulevard Raspail en París, y constituida en junio de 2023. Es de fundación y propiedad francesas, con entre 11 y 50 empleados. Como empresa matriz francesa, Corma está bajo jurisdicción francesa y europea — regida por el RGPD y sujeta a la supervisión de la autoridad francesa de protección de datos (CNIL). No tiene matriz estadounidense; sin embargo, Corma está alojada en AWS (región de París) y declara subencargados estadounidenses como Google, GitHub, Vercel, Heroku, PostHog y Browserbase → exposición indirecta a la CLOUD Act a través de un subencargado estadounidense. Aun así, esto es estructuralmente distinto de Okta, Inc., una empresa estadounidense incorporada en Delaware y cotizada en Nasdaq, donde el alcance de la CLOUD Act se aplica a los datos de identidad del cliente independientemente de la región que aloje el almacén de identidad.

¿En qué se diferencia Corma de Zluri, Torii o Productiv?

Zluri, Torii y Productiv son plataformas de gestión SaaS con sede en Estados Unidos — la misma categoría central que ocupa Corma, pero bajo la jurisdicción de la CLOUD Act. Corma es la alternativa europea directa en esta categoría: mismo alcance funcional (descubrimiento SaaS, gestión de licencias, detección de asientos sin usar, provisioning joiner-mover-leaver, revisiones de acceso), misma salida de evidencia de auditoría para marcos de cumplimiento, pero con datos alojados en Francia (AWS, región de París) y matriz corporativa francesa. Para equipos que migran desde herramientas estadounidenses de gestión SaaS por motivos de compras o cumplimiento, Corma es el reemplazo natural. Corma es inusual porque además incluye IAM del personal (la funcionalidad de Okta), algo que la mayoría de plataformas puras de gestión SaaS no incorpora.

¿Es significativa la inclusión de Corma en el Gartner Magic Quadrant?

Sí. Gartner nombró a Corma en el Magic Quadrant para SaaS Management Platforms tanto en 2025 como en 2026 — el reconocimiento formal de analistas de Gartner tras una evaluación independiente del proveedor, no una colocación pagada. Para las compras empresariales, la presencia en el Gartner Magic Quadrant suele ser un requisito de cualificación — muchas organizaciones solo consideran proveedores que Gartner ha evaluado. Ser nombrada en 2025 estableció a Corma como proveedor evaluado; ser nombrada de nuevo en 2026 confirma la cobertura continuada de los analistas. Es un punto de prueba genuinamente diferenciador para una empresa constituida en junio de 2023.

¿Qué integraciones ofrece Corma?

Corma declara más de 100 integraciones en el stack SaaS. Las integraciones nombradas visibles en el sitio web del producto incluyen Google Workspace, Microsoft Entra ID, Slack, Zapier, Figma, Deel, Airtable, Notion, Zoom, Adobe y OpenAI. La superficie de integración admite tanto integraciones basadas en API (para aplicaciones que exponen APIs de provisioning y auditoría) como basadas en Agent (automatización desde el navegador para aplicaciones que no lo hacen) — permitiendo cubrir herramientas SaaS de cola larga que las plataformas tradicionales basadas en conectores no alcanzan.

¿Qué certificaciones tiene Corma?

Corma cuenta con las certificaciones ISO 27001 (sistema de gestión de seguridad de la información) y SOC 2 (seguridad, disponibilidad, integridad del procesamiento, confidencialidad, privacidad) — las dos referencias estándar de auditoría para compras empresariales. La plataforma es nativa RGPD, con datos alojados en Francia en AWS (región de París); como AWS y varios otros subencargados son empresas estadounidenses, existe una exposición indirecta a la CLOUD Act. Para el sector público francés o las compras cercanas a ANSSI, la estructura de matriz corporativa francesa combinada con la ubicación de los datos en Francia posiciona favorablemente a Corma frente a alternativas de matriz estadounidense que requieren Adendas de Tratamiento de Datos y Cláusulas Contractuales Tipo adicionales para alcanzar la misma postura.

¿Cómo se compara el flujo de revisiones de acceso de Corma con el de Okta Identity Governance?

Las revisiones de acceso de Corma están diseñadas para producir evidencia lista para auditoría directamente — el proceso de revisión, el rastro de evidencia y las acciones de remediación se capturan en un formato consumible por auditores adecuado para SOX, ISO 27001, ISAE 3402 y marcos de auditoría similares. Okta Identity Governance (un tier separado de Okta Workforce Identity) ofrece funcionalidad comparable, pero como complemento que cambia significativamente el envoltorio de precios de Okta. Corma incluye las revisiones de acceso en la plataforma central sin un tier adicional.

¿Cómo se comparan los precios?

El precio público de Corma es bajo solicitud — cada acuerdo se cotiza en función del tamaño de la organización, el número de aplicaciones y el alcance de los flujos de trabajo. Okta publica precios por usuario, pero el precio empresarial efectivo suele divergir significativamente vía tiers agrupados (Workforce, Adaptive MFA, Identity Governance, Access Gateway) que se combinan en compromisos anuales de 5 cifras para clientes del mercado medio. Para una comparación justa, los compradores deben pedir cotizaciones a ambos — el posicionamiento típico de Corma es materialmente más barato que Okta Workforce Identity más Okta Identity Governance más una herramienta separada de gestión SaaS (Zluri o similar) combinadas.