Seguridad y Protección de Datos

Cifrado en Tránsito

• SSL/TLS 1.3: Protocolo de cifrado más moderno y seguro
• HTTPS obligatorio: Todas las conexiones son encriptadas
• Certificados válidos: Renovación automática cada 90 días
• Perfect Forward Secrecy: Protección adicional de sesiones

Cifrado en Reposo

• AES-256: Cifrado de base de datos y archivos
• Claves únicas por cliente: Aislamiento total de datos
• Backups encriptados: Copias de seguridad cifradas
• Almacenamiento seguro: Servidores en datacenters certificados

Autenticación de Usuarios

• Contraseñas hasheadas: Bcrypt con salt único (nunca guardamos en texto plano)
• Autenticación de dos factores (2FA): Disponible para todas las cuentas
• Tokens JWT: Sesiones seguras con expiración automática
• Políticas de contraseñas: Mínimo 8 caracteres, mayúsculas, números y símbolos

Control de Acceso

• Roles y permisos: Control granular de qué puede hacer cada usuario
• Principio de mínimo privilegio: Solo los permisos necesarios
• Auditoría de accesos: Log de todos los inicios de sesión
• Bloqueo automático: Tras 5 intentos fallidos de login

Infraestructura Cloud

• Proveedores certificados: AWS / Google Cloud / Azure (Tier 1)
• Datacenters redundantes: Múltiples ubicaciones geográficas
• Aislamiento de red: VPC privada, subredes segmentadas
• Firewall perimetral: WAF (Web Application Firewall)

Backups y Recuperación

• Backups automáticos: Semanales con retención de 30 días
• Backups incrementales: Cada 6 horas
• Geo-replicación: Copias en múltiples regiones
• RTO/RPO: Recuperación en menos de 4 horas / pérdida máxima 1 hora

• Monitoreo 24/7: Vigilancia constante de todos los sistemas
• Detección de intrusiones (IDS): Alertas automáticas ante actividad sospechosa
• Logs centralizados: Registro de todos los eventos del sistema
• Backups: Copias de seguridad semanales en múltiples ubicaciones
• Escaneo de vulnerabilidades: Análisis semanal automatizado
• Penetration testing: Auditorías de seguridad trimestrales

Contamos con un plan documentado de respuesta a incidentes de seguridad:

Proceso de Respuesta

1. Detección: Identificación automática o manual del incidente
2. Contención: Aislamiento del problema para prevenir propagación
3. Análisis: Evaluación del impacto y causa raíz
4. Erradicación: Eliminación de la amenaza
5. Recuperación: Restauración de servicios normales
6. Post-mortem: Análisis y mejoras para prevenir recurrencia

Notificación

• Usuarios afectados: Notificación en menos de 72 horas (GDPR)
• Autoridades: Reporte a AAIP/DPA según corresponda
• Transparencia: Publicación en la página de estado del servicio

Vos también podés contribuir a la seguridad de tu cuenta:

• Usá contraseñas fuertes: Mínimo 12 caracteres, combina letras, números y símbolos
• Activá 2FA: Doble factor de autenticación para mayor seguridad
• No compartas credenciales: Cada usuario debe tener su propia cuenta
• Cerrá sesión: Especialmente en dispositivos compartidos
• Actualizá tu navegador: Mantén tu software actualizado
• Cuidado con phishing: Verificá siempre la URL antes de ingresar datos
• Reportá actividad sospechosa: Contactanos inmediatamente ante cualquier anomalía

Si descubrís una vulnerabilidad de seguridad en nuestro sistema, te pedimos que nos lo reportes de forma responsable:

Importante: No divulgues públicamente la vulnerabilidad hasta que hayamos tenido oportunidad de solucionarla (90 días).