1. Dónde estamos hoy
Somos un equipo de ingeniería europeo pequeño y describimos nuestra postura de seguridad de forma literal, sin apropiarnos de una credibilidad que no hemos ganado.
No tenemos SOC 2, ISO 27001 ni una atestación equivalente de terceros, y no afirmamos tenerla. No hemos encargado una auditoría, por lo que no hay informe, carta puente ni certificación que compartir. Si eso cambia, lo indicaremos aquí con el alcance y la fecha reales.
Para la revisión de un proveedor, nuestro paquete de seguridad es público:
- Resumen de seguridad: cómo se aloja, cifra, controla y supervisa la plataforma (esta página).
- Acuerdo de tratamiento de datos (DPA), que incluye esta página como sus medidas de seguridad. Hay una copia firmada disponible a petición.
- Lista de subencargados, con la finalidad, las categorías de datos y el lugar de tratamiento de cada proveedor.
- Calendario de conservación de datos, con el plazo de cada categoría de datos y cómo funciona la eliminación.
- Política de privacidad, política de cookies y términos del servicio.
Para un cuestionario de seguridad o un DPA firmado, escribe a [email protected] y hablarás con quienes operan los sistemas.
2. Infraestructura y alojamiento
La plataforma funciona en la Unión Europea: la aplicación y su base de datos se alojan en servidores en Alemania, y las copias cifradas se guardan con un proveedor distinto en los Países Bajos. La base de datos se replica en tres servidores con conmutación automática por error. Producción está separada de los entornos de desarrollo y pruebas, y no se usan datos personales de producción para desarrollar ni probar.
La disponibilidad se apoya en supervisión automatizada y copias cifradas en un ciclo de 35 días. Los procedimientos de restauración se ensayan periódicamente.
3. Cifrado
Los datos en tránsito se protegen con TLS 1.2 o superior en todos los endpoints públicos. Los datos en reposo, incluidas bases de datos, almacenamiento de objetos y copias, se cifran con AES-256 o el equivalente gestionado por el proveedor.
Los secretos y credenciales de API de plataformas conectadas se almacenan cifrados y nunca se escriben en los registros de la aplicación.
MessageMind no ofrece cifrado de extremo a extremo. El agente de IA tiene que leer un mensaje para responderlo, así que el contenido se descifra dentro de la plataforma mientras se procesa, y solo pueden acceder a él los sistemas y el personal autorizados por nuestros controles de acceso.
4. Control de acceso
El acceso a producción sigue el mínimo privilegio y se limita al personal que lo necesita por su función. El acceso administrativo exige cuentas individuales y autenticación multifactor.
Los permisos se revisan periódicamente y se revocan sin demora cuando cambia un rol o termina una colaboración. Accedemos a datos del cliente solo para operar el servicio, resolver una solicitud de soporte o cuando el cliente lo indica.
5. Registros y supervisión
Los eventos relevantes de seguridad, las acciones administrativas y la actividad de autenticación se registran y conservan 12 meses. Los registros se supervisan para detectar anomalías y se usan para investigar incidentes y acreditar cumplimiento (art. 32 RGPD).
6. Desarrollo seguro y gestión de vulnerabilidades
Los cambios pasan revisión por pares antes de llegar a producción. Las dependencias se supervisan frente a vulnerabilidades publicadas y se parchean según riesgo: las críticas son prioritarias, el resto sigue el ciclo normal de publicación.
Actualmente no tenemos un programa de recompensas por errores. Los informes de investigadores independientes son bienvenidos y se gestionan según la sección 7.
7. Contacto de seguridad y aviso de vulnerabilidades
Informa de una vulnerabilidad o incidente sospechoso a [email protected] con SECURITY en el asunto. Incluye qué encontraste, cómo reproducirlo y el impacto que crees que tiene.
Acusamos recibo en 2 días hábiles, damos una evaluación inicial en 5 días hábiles y mantenemos informado a quien reporta hasta el cierre.
Si investigas de buena fe, te pedimos que no accedas, modifiques ni borres datos ajenos, que no degrades el servicio y que no divulgues el problema públicamente antes de que hayamos tenido una oportunidad razonable de corregirlo. No emprenderemos acciones contra quien siga estos principios.
8. Respuesta a incidentes y notificación de brechas
Los incidentes sospechosos se clasifican, contienen e investigan, y la remediación se sigue hasta el cierre. Registramos qué ocurrió, qué datos se vieron implicados y qué cambiamos como consecuencia.
Cuando actuamos como encargado y tenemos conocimiento de una brecha de datos personales, avisamos al cliente afectado sin dilación indebida y en 48 horas, con la información que necesita para cumplir el artículo 33. Cuando actuamos como responsable, notificamos al Garante per la protezione dei dati personali en 72 horas si la brecha entraña riesgo para las personas, e informamos a los afectados si el riesgo es alto.
9. Gestión de proveedores y subencargados
Los proveedores que puedan tratar datos personales se evalúan antes de contratarlos y quedan vinculados por cláusulas escritas de protección de datos. La lista actual se publica en la página de subencargados, con ubicaciones y garantías de transferencia.
10. Lo que necesitamos de ti
La seguridad es compartida. Usa credenciales fuertes y únicas y activa la autenticación multifactor, mantén al día tu lista de usuarios y elimina a quien se va, concede a las integraciones solo los permisos necesarios y configura el agente para que no realice acciones relevantes sin las salvaguardas que quieras.
