Seguridad

Infraestructura segura

Nuestros servicios se alojan en la infraestructura de Amazon Web Services (AWS). No alojamos ni gestionamos nuestros propios routers, equilibradores de carga, servidores DNS ni servidores físicos. Los centros de datos de Amazon cuentan con seguridad con personal las 24 horas, control de acceso biométrico, videovigilancia y cerraduras físicas. Todos los sistemas, dispositivos conectados en red y circuitos se supervisan constantemente. Las instalaciones de AWS cuentan con las certificaciones ISO 27001, SOC 1 y SOC 2/SSAE 16/ISAE 3402 (anteriormente SAS 70 Tipo II), PCI Nivel 1, FISMA Moderate y Sarbanes-Oxley (SOX). Obtenga más información sobre la seguridad de AWS.

Alojado en EE. UU. o en la UE: usted elige

Estados Unidos: prestamos servicio a través de centros de datos y subencargados del tratamiento ubicados en EE. UU., y nuestros servicios principales se alojan en el norte de Virginia; y la Unión Europea: prestamos servicio a través de centros de datos de la UE, y nuestros servicios principales se alojan en Fráncfort (Alemania). Algunos subencargados del tratamiento, como los encargados del envío de correos electrónicos, los pagos, el registro de errores, la supervisión de aplicaciones y la generación opcional de contenido e imágenes mediante inteligencia artificial, tratan datos fuera de la UE. En nuestra página dedicada a los subencargados del tratamiento se enumeran todos ellos y se indica dónde tratan los datos.

Siempre cifrado

Cifrado en tránsito – Todos los datos que se envían hacia o desde nuestra infraestructura se cifran en tránsito siguiendo las mejores prácticas del sector, mediante el protocolo Transport Layer Security (TLS 1.2 o 1.3). Nuestra configuración SSL ha obtenido una calificación de seguridad A+ por parte de Qualys SSL Labs.

Cifrado en reposo – Todos los datos de nuestros usuarios se cifran en nuestras bases de datos mediante el algoritmo de cifrado AES256, de probada eficacia.

Pagos seguros

No nos dedicamos a gestionar ni almacenar números de tarjetas de crédito: los datos de su tarjeta son capturados y almacenados de forma segura directamente por Braintree (una empresa de PayPal), nuestro proveedor de pagos. Braintree cuenta con la certificación de cumplimiento del estándar PCI de Nivel 1 y figura en la lista de proveedores conformes a nivel mundial de Visa® y de MasterCard® (SDP). Realizamos una autoevaluación anual de la norma PCI DSS con Braintree. Obtenga más información sobre la seguridad y el cumplimiento normativo de Braintree.

Supervisión de la seguridad de las aplicaciones

• Utilizamos una solución de supervisión de la seguridad para obtener una visión clara de la seguridad de nuestras aplicaciones, identificar ataques y responder con rapidez ante una filtración de datos.
• Utilizamos tecnologías para supervisar las excepciones y los registros, así como para detectar anomalías en nuestras aplicaciones.
• Recopilamos y almacenamos registros exhaustivos para disponer de un registro de auditoría de la actividad de nuestras aplicaciones. Nuestros registros generan alertas automáticas, que nuestro equipo analiza.
• Los incidentes de seguridad se registran y, en caso de ataques graves, se envían notificaciones para permitir una resolución rápida.

Protección de la seguridad de las aplicaciones

• Utilizamos Amazon Web Application Firewall para proteger a nuestros usuarios frente a una amplia variedad de vulnerabilidades. AWS WAF integra medidas de protección contra las categorías de ataques más graves, como las inyecciones SQL y el cross-site scripting. Bloquea los ataques en tiempo real y nos avisa cuando los atacantes comienzan a someter a nuestras aplicaciones a una carga excesiva.
• Los formularios de nuestra página web utilizan Cloudflare Turnstile para bloquear los bots.
• Utilizamos encabezados de seguridad para proteger a nuestros usuarios frente a ataques. Nuestros servicios han obtenido una calificación de A+ por parte de SecurityHeaders.io.

Gestión de incidentes

Los presuntos incidentes de seguridad, incluidas las brechas de seguridad lógicas y físicas, se registran, se hacen un seguimiento y se resuelven de acuerdo con nuestra Política y nuestros procedimientos de gestión de incidentes. Cuando así lo exija la legislación aplicable, incluida la Ley de Ciberresiliencia de la UE, notificamos a las autoridades pertinentes (como la ENISA) los incidentes de seguridad significativos dentro de los plazos establecidos. Si una violación de datos personales afecta a sus datos, se lo comunicaremos a los clientes afectados sin demora injustificada y en un plazo de 48 horas desde su confirmación. Notificaremos a los organismos reguladores y a las personas afectadas tal y como exige la ley. Si tiene alguna pregunta o sospecha que puede haberse producido un incidente, póngase en contacto con security@groupmap.com.

Informes sobre tiempos de inactividad

Publicamos los incidentes que afectan a la disponibilidad en nuestra página de estado tan pronto como los confirmamos. En el caso de un incidente de nivel «Alto» o «Crítico» (según la clasificación establecida en nuestra Política de gestión de incidentes), también enviamos un correo electrónico a las personas de contacto designadas por los clientes empresariales. Nuestra plataforma de alojamiento suele evitar la necesidad de interrupciones del servicio cuando realizamos cambios en nuestros servicios. Programamos el mantenimiento planificado para minimizar las interrupciones y lo publicamos en nuestra página de estado.

Su privacidad, protegida

Sus datos siguen siendo de su propiedad y solo podrán acceder a ellos aquellas personas con las que decida compartirlos. TeamRetro (y el equipo de GroupMap Technology) solo podrán acceder a sus datos en circunstancias limitadas, como cuando lo exija la ley o para prestar asistencia técnica. Encontrará toda la información al respecto en la Política de privacidad de TeamRetro.

Conservación y eliminación de datos

Conservamos los datos de nuestros usuarios durante un periodo de 365 días tras la finalización de su periodo de prueba o suscripción. A continuación, todos los datos se eliminan por completo de la aplicación. Los usuarios pueden solicitar la eliminación de sus datos en cualquier momento, ya sea eliminando su cuenta o poniéndose en contacto con el servicio de asistencia de TeamRetro. Para obtener más información sobre nuestra configuración de privacidad, consulte nuestra Política de privacidad.

Continuidad del negocio y recuperación ante desastres

Realizamos copias de seguridad de todos nuestros activos críticos e intentamos restaurar dichas copias periódicamente para garantizar una rápida recuperación en caso de desastre. Realizamos una copia de seguridad completa de los datos de los clientes cada 24 horas. Las copias de seguridad se cifran de forma segura y se almacenan durante 30 días, tras lo cual se destruyen de forma segura. Hemos establecido planes de continuidad del negocio y de recuperación ante desastres, y los revisamos anualmente.

Programación segura

Nuestros desarrolladores están obligados a cumplir nuestra Política de Seguridad de Aplicaciones, documentada formalmente, así como a seguir las mejores prácticas y los marcos de seguridad (OWASP Top 10, SANS Top 25). Aplicamos las siguientes mejores prácticas para garantizar el máximo nivel de seguridad en nuestro software:

• Los desarrolladores participan en cursos de formación periódicos sobre seguridad para conocer las vulnerabilidades y amenazas más comunes
• Cada modificación se somete a una revisión por pares, incluidas las relacionadas con vulnerabilidades de seguridad: antes de su integración, siempre que sea posible, y, en caso contrario, posteriormente, en el marco de una revisión mensual de todas las modificaciones integradas sin autorización. Las versiones de producción también deben recibir autorización antes de su implementación.
• Actualizamos periódicamente nuestras dependencias y nos aseguramos de que ninguna de ellas presente vulnerabilidades conocidas.
• Utilizamos las pruebas estáticas de seguridad de aplicaciones (SAST) para detectar vulnerabilidades básicas de seguridad en nuestro código fuente
• Utilizamos las pruebas dinámicas de seguridad de aplicaciones (DAST) para analizar nuestras aplicaciones
• Gracias al uso de Datadog, podemos corregir de forma más eficaz las vulnerabilidades detectadas en pruebas de seguridad, auditorías o programas de divulgación de vulnerabilidades. En cada lanzamiento a producción se analiza la presencia de componentes con vulnerabilidades conocidas, y Dependabot propone actualizaciones de las dependencias cada semana.

Análisis de vulnerabilidades

TeamRetro se somete a análisis mensuales, así como tras cada lanzamiento importante, mediante intruder.io, con el fin de identificar posibles vulnerabilidades en la infraestructura, la plataforma y las aplicaciones. Las vulnerabilidades detectadas se clasifican y se mitigan de acuerdo con nuestras políticas de seguridad de las aplicaciones.

Pruebas de penetración

Periódicamente encargamos pruebas de penetración independientes para validar la seguridad de la plataforma TeamRetro. Solucionamos todos los problemas críticos en un plazo de 48 horas y los de alta gravedad en un plazo de 7 días.

Evaluaciones de riesgos

Se lleva a cabo una evaluación de riesgos anual para identificar las amenazas y vulnerabilidades de los sistemas de TeamRetro. Las estrategias de mitigación se elaboran a partir de los resultados de dicha evaluación de riesgos.

Fortalecimiento del sistema

CONTENEDORIZACIÓN DE SERVIDORES – TeamRetro utiliza la contenedorización del sistema operativo a través de AWS Fargate para garantizar que el acceso a los datos y al código de TeamRetro esté debidamente restringido. Todos los servicios de TeamRetro se ejecutan en recursos informáticos dedicados, aislados en su propia red virtual.

SISTEMAS DE ARCHIVOS EFÍMEROS DEL SERVIDOR – Los servidores de TeamRetro funcionan con un sistema de archivos efímero, que se restaura con una copia nueva del código implementado más recientemente al menos una vez al día, o cada vez que se implementa una nueva versión.

ACTUALIZACIONES DEL SISTEMA – Se llevan a cabo de forma continua actualizaciones a nivel de plataforma (sistema operativo, bibliotecas del sistema y servicios) de los servidores de aplicaciones y bases de datos de TeamRetro.

ACTUALIZACIONES DE LAS APLICACIONES – TeamRetro se encarga de aplicar las actualizaciones de las aplicaciones (bibliotecas de aplicaciones, etc.) de forma continua.

ORDENADORES – Todos los activos del equipo (como los portátiles y los ordenadores de sobremesa destinados al desarrollo) cuentan con almacenamiento cifrado y están protegidos por un software antivirus actualizado.

Registro exhaustivo

Mantenemos registros exhaustivos de todas las transacciones realizadas en el sistema, con registros específicos de los intentos de inicio de sesión. Nuestro equipo utiliza estos registros, así como las alertas automáticas que generan, para investigar los intentos de acceso no autorizado.

El acceso de nuestro equipo

• Nuestro equipo solo puede acceder a los datos de los usuarios con la autorización de nuestro equipo de seguridad, y únicamente cuando así lo exija la ley o para prestar asistencia técnica. Encontrará toda la información al respecto en nuestra Política de privacidad.
• Nuestros empleados y colaboradores firman un acuerdo de no divulgación y confidencialidad para proteger la información sensible de nuestros clientes.
• Nuestros empleados y contratistas son sometidos a un proceso de selección por parte de un servicio líder en la verificación de antecedentes.
• El nivel de acceso de cada uno de nuestros empleados se determina en función de las necesidades, se revisa periódicamente y se revoca si ya no resulta necesario. Aplicamos la autenticación multifactorial en todos los sistemas críticos de TeamRetro.
• Para acceder al panel de administración es necesaria la autenticación de dos factores.

Divulgación responsable

Animamos a todas aquellas personas que practiquen la divulgación responsable y cumplan con nuestras políticas y condiciones de servicio a participar en nuestro programa de divulgación de vulnerabilidades. Le rogamos que evite las pruebas automatizadas y que realice pruebas de seguridad únicamente con sus propios datos. Le rogamos que no divulgue ninguna información relativa a las vulnerabilidades hasta que las hayamos solucionado. Podremos, a nuestra discreción, ofrecer un reconocimiento por los informes de gran calidad y repercusión. Obtenga más información sobre el programa de divulgación responsable de TeamRetro.