Seguridad

La seguridad es un requisito de diseño de cada servicio. Aplicamos el principio de mínimo privilegio, la defensa en profundidad y la norma de que los datos de los clientes se utilizan únicamente para prestar el servicio que el cliente ha solicitado.

Los datos se cifran en tránsito con TLS 1.2 o superior y en reposo con un cifrado robusto. Los secretos y las credenciales se almacenan en gestores de secretos administrados, nunca en el código fuente. Las integraciones utilizan accesos acotados y revocables, y de solo lectura siempre que el servicio lo permita.

El acceso del personal a los sistemas de producción se limita a quienes lo necesitan, exige autenticación multifactor, queda registrado y se revisa periódicamente. Los clientes del plan Scale pueden utilizar inicio de sesión único y registros de auditoría.

Operamos sobre infraestructura en la nube de reconocido prestigio, con aislamiento de red, configuraciones reforzadas y aplicación automática de parches. Los entornos de los clientes están separados lógicamente. Existen opciones de residencia de datos, incluido el alojamiento en la UE.

Revisamos los cambios de código, analizamos las dependencias en busca de vulnerabilidades conocidas, realizamos pruebas antes de cada lanzamiento y corregimos con prioridad los problemas críticos. A medida que la empresa madure, encargaremos pruebas de penetración independientes al menos una vez al año.

Se realizan copias de seguridad periódicas de los datos y se comprueban las restauraciones. Supervisamos la disponibilidad y el rendimiento y mantenemos un plan de respuesta a incidentes con funciones definidas, escalado y comunicación con los clientes.

Si confirmamos una violación de la seguridad de los datos personales que afecte a datos de clientes, lo notificaremos a los clientes afectados sin dilación indebida y, cuando sea exigible, en un plazo de 72 horas desde que tengamos conocimiento de ella, con la información necesaria para que puedan cumplir sus propias obligaciones.

Nuestro tratamiento se ajusta al RGPD. Hay un programa SOC 2 en curso; no afirmamos disponer de certificación hasta que se haya completado una auditoría independiente. No utilizamos datos de clientes para entrenar modelos compartidos con otros clientes.

El personal firma acuerdos de confidencialidad y recibe formación en seguridad. Los subencargados del tratamiento se evalúan antes de su uso y quedan vinculados por cláusulas de protección de datos. Disponemos de una lista actualizada a su disposición previa solicitud.

Si cree haber encontrado un problema de seguridad, escriba a info@totoflow.us con los detalles. Le rogamos que nos conceda un plazo razonable para corregirlo antes de divulgarlo y que no acceda a datos que no sean suyos. Acusaremos recibo de las notificaciones con prontitud y no emprenderemos acciones contra las investigaciones realizadas de buena fe.