Cómo protegemos la información de nuestros clientes y de quienes visitan el sitio: accesos, código, datos, respaldos y qué hacer si encuentras una vulnerabilidad.
Responsable: [COMPLETAR: razón social] · Contacto de seguridad: [COMPLETAR: correo de privacidad y seguridad]
1. Principios
- Acceso mínimo: cada persona accede solo a lo que necesita para su trabajo.
- Datos separados: los entornos de prueba y producción están diferenciados.
- Credenciales fuera del código: las claves se guardan en gestores de contraseñas, no en repositorios.
- Mejora continua: revisamos dependencias, accesos y respaldos de forma periódica.
2. Accesos
Usamos contraseñas únicas, gestor de credenciales para el equipo y autenticación en dos pasos cuando el proveedor lo permite. Los accesos de clientes se crean con el rol mínimo necesario y se revocan al terminar el proyecto o la relación laboral.
Las integraciones con servidores usan contraseñas de aplicación revocables, no las credenciales principales del cliente.
3. Código y diseños de clientes
El código de cada cliente vive en un repositorio privado con acceso limitado. Los secretos (API keys, credenciales de base de datos) se configuran por entorno y nunca se suben al repositorio. Los diseños se comparten por enlaces con permisos, no por canales abiertos.
4. Datos personales
Los datos del formulario se transmiten por HTTPS y llegan únicamente al buzón de contacto. No se almacenan en bases de datos de marketing ni se usan para perfilado. El detalle está en la política de privacidad.
5. Respaldos
Realizamos copias de archivos y base de datos para los sitios que administramos. Frecuencia y retención se acuerdan según el proyecto: [COMPLETAR: frecuencia y retención de respaldos]. Los respaldos también están protegidos con acceso restringido.
6. Infraestructura
El sitio corre en un servidor administrado con PHP y base de datos MySQL, detrás de Cloudflare para DNS, CDN y seguridad. Usamos HTTPS en todo el sitio y actualizamos el núcleo, el tema y las dependencias cuando corresponde.
7. Confidencialidad
La información de los proyectos es confidencial por defecto. No compartimos datos, código ni credenciales con terceros sin autorización, salvo obligación legal. El equipo firma acuerdos de confidencialidad cuando el cliente lo requiere.
8. Incidentes
Si detectamos un incidente de seguridad que afecte datos de clientes, informaremos a las personas afectadas sin demora indebida, explicando qué pasó, qué datos se vieron comprometidos y qué medidas tomamos.
9. Cómo reportar una vulnerabilidad
Si encuentras una vulnerabilidad en este sitio, escríbenos a [COMPLETAR: correo de privacidad y seguridad] con:
- Descripción del problema y dónde se reproduce.
- Pasos para reproducirlo (capturas o video ayudan).
- Tu nombre y un medio de contacto, si quieres que te respondamos.
Nos comprometemos a acusar recibo en un plazo de [COMPLETAR: plazo, por ejemplo 72 horas], no tomar represalias por reportes de buena fe y no divulgar tu identidad sin permiso. Te pedimos no explotar la vulnerabilidad más allá de lo necesario para demostrarla ni acceder a datos de terceros.
10. Buenas prácticas para clientes
- No compartas contraseñas por correo o chat sin cifrar.
- Usa contraseñas distintas para el panel de administración.
- Revoca accesos de personas que ya no trabajen en el proyecto.
- Reporta cualquier comportamiento extraño en el sitio.
11. Cambios
Actualizaremos esta política cuando cambien nuestras medidas o proveedores. La fecha de “última actualización” indica la versión vigente.