Política de Seguridad

Introducción

En Warranlytics, la seguridad no es solo una característica: es fundamental para todo lo que hacemos. Entendemos que está confiando en nosotros con datos valiosos de garantía y información comercial, y nos tomamos esa responsabilidad en serio.

Esta política de seguridad describe las medidas técnicas y organizativas que usamos hoy para proteger tu información.

Solo describimos controles que ya están implantados. Warranlytics no cuenta con certificación SOC 2, ISO 27001 ni PCI DSS.

1. Protección de Datos

Protegemos tus datos con varias capas de control: HTTPS para todo el tráfico, comprobación de permisos en cada solicitud y registros de auditoría de los cambios en tus registros.

Las contraseñas y los tokens de sesión nunca se almacenan en texto plano, y las direcciones de correo y los números de teléfono aparecen enmascarados en nuestros registros de aplicación.

• HTTPS para todo el tráfico a través de Cloudflare, con HTTP Strict Transport Security (HSTS)
• Contraseñas cifradas con hash bcrypt
• Tokens de actualización almacenados solo como hash SHA-256
• Tokens de sesión en cookies httpOnly, Secure y SameSite
• Correos y teléfonos enmascarados en los registros
• Exportación y eliminación de datos a petición

2. Control de Acceso

Implementamos controles de acceso estrictos basados en el principio de menor privilegio. Los usuarios solo reciben acceso a los datos y funciones necesarios para sus roles específicos.

El inicio de sesión está protegido con limitación de solicitudes, tokens de acceso de corta duración con tokens de actualización rotativos y autenticación en dos pasos opcional.

• Autenticación en dos pasos opcional
• Control de acceso basado en roles (RBAC)
• Tokens de acceso de corta duración con rotación de tokens de actualización
• Registros de auditoría de los cambios en garantías, reclamaciones, facturas y otros registros
• Cada consulta limitada a los datos de tu propia organización
• Limitación de solicitudes en el inicio de sesión, el restablecimiento de contraseña y los códigos de un solo uso

3. Seguridad de Red

Todo el tráfico de producción pasa por Cloudflare, incluido su firewall de aplicaciones web, antes de llegar a nuestros servidores, y los puertos de nuestra base de datos nunca están expuestos a internet.

Cada solicitud se autentica y se comprueba contra permisos basados en roles antes de poder acceder a tus datos.

• Firewall de aplicaciones web (WAF) de Cloudflare
• Cabeceras de seguridad en cada respuesta, incluidas HSTS y una Content Security Policy
• Redes de contenedores aisladas para cada entorno
• Puertos de base de datos nunca expuestos en producción
• Mitigación de DDoS a través de Cloudflare
• Solicitudes de origen cruzado limitadas a nuestras propias aplicaciones

4. Seguridad de Infraestructura

La plataforma se ejecuta en contenedores sobre infraestructura en la nube gestionada, detrás de Cloudflare. Los contenedores se ejecutan con un usuario sin privilegios de root y cada entorno está aislado de los demás.

Mantenemos actualizadas las dependencias y las imágenes base, y aplicamos los parches de seguridad a medida que se publican.

• Alojamiento en la nube gestionado detrás de Cloudflare
• Contenedores ejecutados sin privilegios de root
• Dependencias e imágenes base actualizadas
• Despliegues definidos en configuración con control de versiones
• Registro de la aplicación y supervisión de la disponibilidad
• Secretos proporcionados por el entorno, nunca incluidos en el código

5. Seguridad de Aplicaciones

Nuestras aplicaciones siguen prácticas de programación segura, con controles de seguridad en varias capas de la aplicación.

Cada solicitud se valida y se sanea en el límite de la API, las dependencias se mantienen actualizadas y las vulnerabilidades notificadas se corrigen con rapidez.

• Revisión de código y análisis automático (linting) en cada cambio
• Protección CSRF en cada solicitud que modifica datos
• Campos desconocidos rechazados mediante validación estricta de entradas
• Validación segura de entrada y sanitización
• Manejo seguro de errores y logging
• API security y limitación de velocidad

6. Prevención de Fraudes

Los controles antifraude son reglas deterministas que se aplican a cada reclamación de garantía: detectamos registros y reclamaciones duplicados, confirmamos que el número de serie es válido y comprobamos que la reclamación está dentro del periodo de cobertura.

Las reclamaciones que no superan un control se marcan para que tu equipo las revise. No se utiliza aprendizaje automático ni elaboración automatizada de perfiles.

• Detección de registros y reclamaciones duplicados
• Validación del número de serie
• Comprobación del periodo de cobertura y vencimiento
• Códigos QR y enlaces de verificación firmados en los certificados de garantía
• Registro de auditoría en cada garantía y reclamación
• Reclamaciones marcadas retenidas para revisión manual

7. Respuesta a Incidentes

Tenemos un proceso documentado para gestionar incidentes de seguridad: determinar qué ocurrió, limitar el impacto y corregir la causa.

Respondemos a los incidentes de seguridad en cuanto tenemos conocimiento de ellos, siguiendo procedimientos documentados para limitar su impacto e informando a los clientes afectados.

• Procedimientos documentados de respuesta a incidentes
• Limitación de solicitudes y reglas de firewall para contener abusos
• Registros del servidor y de auditoría para determinar qué ocurrió
• Notificación de comunicación e incidentes
• Análisis de causa raíz post-incidente
• Mejora continua de procesos

8. Cumplimiento y Protección de Datos

Desarrollamos siguiendo prácticas de seguridad consolidadas y diseñamos la plataforma en torno a las obligaciones de protección de datos que se aplican a nuestros clientes.

Mantenemos registros internos y logs de auditoría suficientes para acreditar nuestras obligaciones del GDPR, y podemos facilitarlos cuando se soliciten.

• Cumplimiento GDPR para protección de datos
• Cifrado en tránsito y en reposo
• Control de acceso basado en roles en cada registro
• Registro de auditoría en servidor de los accesos a datos
• Proceso documentado de respuesta a incidentes
• Revisiones de acceso con privilegios mínimos

9. Capacitación en Seguridad para Empleados

Todas las personas de nuestro pequeño equipo con acceso a los sistemas de producción reciben una introducción a nuestras prácticas de seguridad al incorporarse.

El acceso a los sistemas de producción se limita a las personas que lo necesitan para operar el servicio.

• Introducción a la seguridad para todos los que tienen acceso a producción
• Acceso a producción limitado a quien lo necesita
• Secretos fuera del código fuente
• Pautas para el tratamiento de datos de clientes
• Procedimientos de respuesta a incidentes
• Accesos retirados de inmediato cuando alguien deja el equipo

10. Seguridad de Terceros

Mantenemos deliberadamente reducido el número de subencargados y recurrimos a proveedores consolidados para el alojamiento, el envío de correo y el almacenamiento de archivos.

Cada proveedor solo accede a los datos que necesita para cumplir su función, y podemos facilitar nuestra lista actual de subencargados cuando se solicite.

• Un conjunto deliberadamente reducido de subencargados
• Acuerdos contractuales de seguridad
• Cada proveedor limitado a los datos mínimos necesarios
• Lista actual de subencargados disponible a petición
• Requisitos de manejo de datos
• Notificación de incidentes y procedimientos de respuesta

11. Informes de Seguridad

Fomentamos la notificación responsable de vulnerabilidades de seguridad y mantenemos canales claros para que investigadores de seguridad y usuarios reporten problemas.

Todos los informes de seguridad se toman en serio y se investigan con rapidez.

• Divulgación responsable por correo a contact@warranlytics.com
• Informes confirmados e investigados con rapidez
• Proceso de escalación de incidentes
• Correcciones priorizadas según la gravedad
• Comunicación transparente de resolución
• Mejoras de seguridad basadas en retroalimentación

12. Información de Contacto

Para preguntas sobre seguridad, para reportar una vulnerabilidad de seguridad o para solicitar información adicional sobre nuestras prácticas de seguridad, por favor contáctenos:

Correo: contact@warranlytics.com

Para asuntos de seguridad urgentes, escríbenos con el asunto 'URGENTE - Seguridad' o llama al +880 1811 955 677 en horario laboral.