Seguridad

Traducción cortesía. Sólo la versión italiana de este documento tiene valor legal: si los dos textos se sumergen, prevalece el texto italiano. La ley italiana se aplica a la relación en cualquier caso.

Nuestro enfoque

La seguridad de una plataforma que mantiene el contenido de sus clientes y la identidad de marca no es una característica para conectarse al final: es una limitación de diseño.

Aplicamos tres principios simples. Recoger el mínimo, dar a cada persona sólo el acceso que su trabajo requiere, y hacer lo que sucede verificable.

Las medidas descritas aquí son las que el artículo 32 del GDPR pide: apropiado al riesgo, no maximal en abstracto. Los revisitamos cuando el producto cambia o cuando un incidente nos enseña algo.

Cifrado en tránsito

Todo el tráfico a la plataforma y al sitio web se ejecuta sobre HTTPS. Las conexiones planas se redireccionan a la versión cifrada.

Las cookies técnicas que los conjuntos del sitio llevan el atributo Secure, por lo que nunca se envían a través de una conexión no cifrada, y los de sesión también llevan HtpOnly.

Llamadas a proveedores conectados, desde modelos de idiomas a servicios de publicación, ejecutan canales cifrados y autenticados.

Cifrado en reposo

Los datos almacenados, incluyendo el contenido, materiales cargados y copias de seguridad, están cifrados en reposo por la plataforma o por la infraestructura que lo alberga.

Registra los borradores, que pueden tener datos de negocio antes de que exista una cuenta, están encriptados lado servidor y nunca se quedan en el navegador.

Las contraseñas no se guardan en texto claro en ninguna forma recuperable.

Gestión secreta

Las claves de interfaz de proveedor, fichas para servicios conectados y las credenciales que un cliente configura para publicar en su propio sitio son secretos, y los tratamos como tales.

• Están encriptados en reposo con cifrado autenticado.
• Nunca aparecen en registros, en mensajes de error o en respuestas de interfaz.
• Una vez guardados no se muestran de nuevo en la interfaz: sólo pueden ser reemplazados.
• Son accesibles sólo por los componentes de aplicación que necesitan utilizarlos.

Control de acceso

Cada acceso a los sistemas de producción está bajo una identidad nombrada. No hay relatos compartidos entre las personas.

Aplicamos menos privilegios: cada persona recibe los permisos que su papel requiere y nada más. Las permisos se revisan cuando un rol cambia y se revoca cuando el compromiso termina.

Nuestro personal accede a los datos del cliente sólo para el soporte solicitado, el diagnóstico de una falla o una obligación legal, y deja un rastro.

Solución entre clientes

Cada cliente trabaja en un espacio separado. Un contenido de cliente, materiales, configuraciones y claves no son accesibles a otro.

La separación se aplica a nivel de datos y se verifica en cada solicitud: el identificador del espacio de trabajo es parte del control de autorización, no sólo un filtro de interfaz.

Un contenido del cliente nunca alimenta otro contenido del cliente y nunca contribuye a ningún modelo compartido.

Respaldos y restauración

Tomamos copias de seguridad regulares de los datos de la plataforma, guardados encriptados y separados del entorno de producción.

Los procedimientos de restauración se documentan y ensayan: una copia de seguridad que nunca ha sido restaurada no es una copia de seguridad, es una esperanza.

La retención de respaldo sigue la misma lógica de minimización que los datos mismos: mantener lo que se necesita para restaurar, ya no más.

Logging and monitoring

Grabamos los eventos que importan para la seguridad y el diagnóstico: autenticaciones, operaciones en datos, resultados de las carreras de procesamiento, errores de aplicación.

Existen registros para entender lo que pasó, no para perfilar a la gente. No contienen secretos y, en cuanto técnicamente evitables, ningún contenido sensible del cliente.

Un sistema de monitoreo de errores marca anomalías en tiempo real, por lo que un defecto es visto por nosotros antes de que sea visto por el cliente.

Manejo de incidentes

Tenemos un procedimiento documentado para manejar un incidente de seguridad.

1. Detección: la anomalía proviene de la vigilancia, de un informe interno o de un informe externo.
2. Contención: la extensión es limitada inmediatamente, incluso a costa de degradar temporalmente una característica.
3. Evaluación: establecemos lo expuesto, lo que los clientes se ven afectados y si los datos personales están involucrados.
4. Comunicación: se informa a los clientes afectados y, en su caso, se asiste a las notificaciones que la ley requiere.
5. Remediación: la causa es fija y la fijación es verificada.
6. Revisión: escribimos lo que sucedió y qué cambios por lo que no se repite.

Notificación de incidentes

Si un incidente implica datos personales procesados en nombre de un cliente, informamos a ese cliente sin demora indebida, como exige el artículo 33.2 del RGPD.

El primer mensaje sale tan pronto como se confirma el incidente, incluso si la imagen aún no está completa, y es seguido por actualizaciones a medida que avanza el análisis.

El cliente, como responsable, sigue siendo la parte requerida para notificar a la autoridad supervisora dentro del plazo establecido por el artículo 33 del RGPD y, cuando proceda, para informar a los sujetos de datos. Asistimos a la información técnica necesaria.

Funciones en el marco del acuerdo de procesamiento de datos

Publicación responsable

Si usted ha encontrado una vulnerabilidad, escriba a info@flarseo.com con "seguridad" en el tema. Leemos y contestamos.

• Describir el problema, los pasos para reproducirlo y el impacto que usted cree que tiene.
• No acceda a datos que no sean suyos, no lo modifique y no lo borre.
• No publique la vulnerabilidad antes de que se fije o antes de que lo hayamos discutido juntos.
• Evite las pruebas que degradan el servicio para otros clientes.

No tomamos ninguna acción contra las personas que reportan de buena fe y respetan estas condiciones. No ejecutamos ningún programa de recompensa: decimos gracias y, si quieres, te acreditamos.

Lo que no reclamamos

Preferiríamos tener una página honesta que una impresionante.

• No reclamamos certificaciones que no tenemos: ninguna certificación ISO, ningún informe de certificación de terceros.
• No presentamos pruebas periódicas de penetración de terceros como práctica establecida.
• No prometemos la ausencia de vulnerabilidades: ningún sistema puede prometer eso.

Si alguno de estos cambios, esta página lo dirá con una nueva versión y una nueva fecha, no antes.

Las medidas descritas aquí son las vigentes en la fecha indicada anteriormente. Las obligaciones contractuales en materia de seguridad son las que figuran en el acuerdo presentado como anexo del contrato, en italiano, en el registro.