Política de Seguridad de la Información

Publicamos sólo las medidas que aplicamos hoy. Cuando incorporemos otras, aparecerán aquí con su fecha.

3.1 Compromiso

En Wodelix la seguridad de la información es un requisito de diseño. Mantenemos medidas administrativas, técnicas y físicas que protegen los datos personales y la información de nuestros clientes contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, en cumplimiento del artículo 18 de la LFPDPPP.

Nuestras medidas no son inferiores a las que mantenemos para nuestra propia información, y se determinan considerando el riesgo existente, las consecuencias posibles para los titulares, la sensibilidad de los datos y el estado del desarrollo tecnológico.

3.2 Gobierno de la seguridad

Hay una persona responsable de la seguridad de la información, contactable en hola@wodelix.com.

Quien tenga acceso a datos de clientes queda obligado a confidencialidad, y esa obligación subsiste después de terminada la relación, conforme al artículo 20 de la LFPDPPP.

3.3 Aislamiento entre clientes

Los datos de cada cliente se mantienen lógicamente segregados mediante un identificador de inquilino con filtrado a nivel de fila. Los controles de acceso impiden que un cliente acceda a información de otro.

3.4 Medidas técnicas

Cifrado

• Información en tránsito: TLS 1.2 o superior.
• Información en reposo: AES-256.
• Contraseñas: almacenadas mediante funciones hash con sal, nunca en texto claro.

Control de acceso

• Principio de mínimo privilegio.
• El acceso a datos de clientes se limita a lo necesario para dar soporte y queda registrado.

Infraestructura

• Alojamiento en Supabase, en Estados Unidos, región Norte de Virginia, con separación entre los ambientes de desarrollo y producción.

Respaldos

• Respaldos cifrados diarios y automáticos, gestionados por nuestro proveedor de infraestructura.

Control sobre las operaciones

• Ninguna operación que mueva información o dinero se ejecuta sin la aprobación expresa de la persona usuaria: el sistema propone y espera confirmación.
• Cada operación queda registrada con su fecha y hora.
• Las operaciones reversibles pueden deshacerse dentro de las cuarenta y ocho horas siguientes.
• El cliente puede exportar sus datos en cualquier momento, sin costo.

3.5 Gestión de incidentes y notificación de vulneraciones

Cuando la vulneración afecta datos de los que Wodelix es responsable, informaremos de forma inmediata a los titulares afectados, conforme al artículo 19 de la LFPDPPP, indicando la naturaleza del incidente, los datos comprometidos, las recomendaciones al titular y las acciones correctivas adoptadas.

Cuando la vulneración afecta datos de los que un cliente es responsable, notificaremos a dicho cliente sin dilación indebida y a más tardar dentro de las 72 horas siguientes a que tengamos conocimiento, con la información necesaria para que él cumpla su propia obligación de notificar a los titulares. Wodelix no notificará directamente a los titulares sin instrucción del cliente, salvo obligación legal.

3.6 Proveedores y subencargados

Formalizamos con nuestros proveedores contratos que establecen obligaciones de confidencialidad y medidas de seguridad. La lista vigente de subencargados con acceso a datos de clientes se mantiene en el Anexo de Tratamiento de Datos Personales.

3.7 Programa de divulgación responsable

Si identificas una posible vulnerabilidad en nuestros sistemas, repórtala a hola@wodelix.com antes de divulgarla públicamente. Acusaremos recibo dentro de 72 horas y te mantendremos informado del avance.

Te pedimos limitar las pruebas a cuentas de tu propiedad, no acceder ni descargar información de terceros, no degradar la disponibilidad del servicio y no utilizar ingeniería social contra nuestro personal.

Wodelix no ejercerá acciones legales contra quienes reporten de buena fe respetando estos lineamientos. Ten presente que el acceso no autorizado a sistemas informáticos puede constituir delito conforme a los artículos 211 Bis 1 a 211 Bis 7 del Código Penal Federal; estos lineamientos son la condición para actuar dentro de un marco autorizado.

3.8 Responsabilidades del cliente

La seguridad es compartida. Te pedimos usar contraseñas robustas y únicas, dar de baja oportunamente a los usuarios que dejen tu organización, revisar periódicamente los permisos asignados, y notificarnos de inmediato cualquier actividad sospechosa.

3.9 Documentación para procesos de evaluación de proveedores

Ponemos a disposición de clientes y prospectos, bajo convenio de confidencialidad, nuestro Anexo de Tratamiento de Datos Personales, la lista de subencargados y la descripción de arquitectura. Solicítalos en hola@wodelix.com.