Seguridad y retención de datos

Cómo protegemos la información

• Toda la comunicación con la plataforma viaja cifrada (HTTPS).
• Las contraseñas se guardan como hash PBKDF2-SHA256, nunca en texto plano.
• Las sesiones vencen a las 8 horas y se cierran al cambiar la contraseña.
• El equipo administrador usa cuentas personales con roles y puede activar verificación en dos pasos.
• Cada empresa solo puede ver sus propios documentos; los permisos se comprueban en el servidor y se prueban automáticamente.
• Los archivos se validan por su contenido real antes de guardarse.
• Las acciones importantes quedan registradas en una bitácora de auditoría.
• La base de datos y los archivos se alojan con proveedores que cifran la información en reposo.

Cuánto tiempo guardamos los datos

• Documentos: mientras la cuenta de la empresa o del consultor esté activa. Al borrar un documento o una cuenta, sus archivos se eliminan del almacenamiento.
• Bitácora de auditoría: 365 días.
• Sesiones: hasta 8 horas o hasta cerrar sesión.
• Enlaces públicos: vencen a los 30 días o cuando se revocan.
• Copias de seguridad: se conservan según el plan del proveedor de base de datos y se reemplazan de forma periódica.

Al terminar el servicio, la empresa puede pedir una copia de sus documentos antes de que se eliminen.

Reportar un problema de seguridad

Si encuentras una vulnerabilidad o crees que tu cuenta fue comprometida, escribe a [email protected]. Te responderemos lo antes posible y no tomaremos acciones contra quien reporte de buena fe.

Qué hacemos ante un incidente

• Contener: cerrar sesiones, cambiar credenciales y bloquear el acceso afectado.
• Investigar con la bitácora de auditoría qué datos se vieron afectados.
• Avisar a las empresas y titulares afectados y, cuando corresponda, a la Superintendencia de Industria y Comercio.
• Corregir la causa y documentar lo ocurrido.