Este es el resumen de cómo protegemos UltraGIS y los datos de nuestros clientes. Los detalles técnicos adicionales se comparten con clientes del plan Empresa bajo acuerdo de confidencialidad.
1. Cifrado
Todo el tráfico viaja cifrado con TLS. Los datos en reposo se cifran en la base y en el almacenamiento de archivos; la información personal de abonados y leads usa además cifrado de sobre con llaves gestionadas en un KMS y rotación periódica. El plan A medida puede usar llaves propias.
2. Acceso y autenticación
- Contraseñas cifradas con Argon2id y verificadas contra listas de contraseñas filtradas.
- Verificación en dos pasos (TOTP) opcional para todos y desactivada por defecto: cada persona la activa en su perfil, con códigos de respaldo y llaves de seguridad (WebAuthn); el administrador de la empresa puede exigirla por rol o por usuario.
- Recuperación de contraseña con código de un solo uso enviado al correo; sin SMS ni WhatsApp.
- SSO SAML/OIDC en el plan Empresa; bloqueo temporal ante intentos fallidos y límite de sesiones.
3. Aislamiento por empresa
Cada empresa vive en su subdominio y sus datos se separan en la base con Row Level Security por empresa. Los permisos se aplican por rol y los datos personales se enmascaran según el rol.
4. Auditoría
Los inicios de sesión, los cambios de configuración, las publicaciones de red y los accesos a datos personales quedan en un registro de auditoría inmutable, encadenado con hash y verificado a diario.
5. Respaldos y continuidad
Respaldo continuo de la base de datos, copias en otra cuenta y región con retención inmutable de hasta 12 meses y ensayo de restauración automatizado cada mes. Objetivos: RPO menor a 1 hora y RTO menor a 4 horas.
6. Asistente IA y MCP
El asistente IA aconseja y no decide: usa herramientas de solo lectura y no recibe datos personales. Toda escritura por MCP exige vista previa y confirmación de una persona.
7. Incidentes y reportes
Tenemos un procedimiento de respuesta a incidentes con severidades y tiempos definidos. Si afecta datos personales, avisamos a los clientes según el DPA. Para reportar una vulnerabilidad de forma responsable escribe a soporte@ultragis.io.