Política de Seguridad

1. Compromiso con la Seguridad

Nuestro compromiso con la seguridad incluye:

• Inversión continua en tecnologías y prácticas de seguridad
• Equipo dedicado de seguridad de la información
• Revisión y mejora constante de nuestros controles
• Transparencia con nuestros clientes sobre medidas implementadas
• Cumplimiento con regulaciones y estándares aplicables

2. Infraestructura Segura

Nuestra plataforma opera sobre infraestructura cloud de primer nivel:

• Google Cloud Platform: Servidores en datacenters certificados ISO 27001
• Redundancia geográfica: Múltiples zonas de disponibilidad
• Alta disponibilidad: SLA de 99.5% de uptime garantizado
• Escalabilidad: Capacidad de escalar según demanda
• Aislamiento: Separación lógica de datos entre clientes

3. Encriptación de Datos

Protegemos sus datos mediante múltiples capas de encriptación:

Datos en Tránsito

• TLS 1.3 para todas las comunicaciones web
• HTTPS obligatorio en toda la plataforma
• Certificados SSL/TLS renovados automáticamente

Datos en Reposo

• Encriptación AES-256 para bases de datos
• Encriptación de respaldos
• Gestión segura de claves de encriptación

Credenciales

• Contraseñas hasheadas con bcrypt (factor de costo 12)
• Tokens de sesión seguros y con expiración
• Claves API encriptadas en almacenamiento

4. Control de Acceso

Implementamos múltiples capas de control de acceso:

• Autenticación robusta: Políticas de contraseñas fuertes
• 2FA: Autenticación de dos factores disponible para todas las cuentas
• RBAC: Control de acceso basado en roles y permisos
• Sesiones seguras: Timeout automático por inactividad
• Bloqueo de cuenta: Tras intentos fallidos de login
• IP Whitelisting: Restricción por IP disponible (Enterprise)

5. Respaldos y Recuperación

Garantizamos la continuidad de su operación:

• Respaldos automáticos: Cada 6 horas
• Retención: 30 días de respaldos diarios, 12 meses de mensuales
• Replicación: En tiempo real a zona secundaria
• DRP: Plan de recuperación ante desastres documentado
• RTO: Objetivo de tiempo de recuperación de 4 horas
• RPO: Objetivo de punto de recuperación de 1 hora
• Pruebas: Restauraciones de prueba mensuales

6. Seguridad en el Desarrollo

Nuestro proceso de desarrollo seguro incluye:

• SDLC seguro: Seguridad integrada en todo el ciclo de desarrollo
• Code review: Revisión de código por pares
• SAST: Análisis estático de código automatizado
• DAST: Pruebas dinámicas de seguridad
• Dependencias: Escaneo automático de vulnerabilidades
• CI/CD seguro: Pipelines con controles de seguridad
• Ambientes separados: Desarrollo, staging y producción aislados

7. Monitoreo y Detección

Vigilamos constantemente nuestra infraestructura:

• Monitoreo 24/7: De infraestructura y aplicaciones
• SIEM: Correlación de eventos de seguridad
• IDS/IPS: Detección y prevención de intrusiones
• WAF: Firewall de aplicaciones web
• DDoS Protection: Protección contra ataques de denegación
• Alertas: Notificaciones automáticas de anomalías
• Logs: Registro completo de auditoría

8. Cumplimiento

Nos alineamos con estándares y regulaciones:

• Ley 19.628: Protección de Datos Personales de Chile
• OWASP: Mejores prácticas de seguridad web
• SOC 2 Type II: Controles de seguridad auditados (en proceso)
• ISO 27001: Infraestructura certificada (GCP)
• PCI DSS: Cuando aplica para procesamiento de pagos

9. Respuesta a Incidentes

Contamos con un plan estructurado de respuesta a incidentes:

• Equipo de respuesta: Personal dedicado y capacitado
• Procedimientos: Protocolos documentados de respuesta
• Contención: Acción inmediata para limitar el impacto
• Investigación: Análisis forense cuando corresponda
• Comunicación: Notificación a clientes afectados
• Remediación: Corrección de vulnerabilidades
• Post-mortem: Análisis y mejoras después de cada incidente

Nos comprometemos a notificar a los clientes afectados dentro de 72 horas de confirmar un incidente de seguridad que comprometa sus datos.

10. Reporte de Vulnerabilidades

Valoramos la colaboración de la comunidad de seguridad. Si descubre una vulnerabilidad:

• Repórtela responsablemente a: legal@gtrack.io
• Proporcione detalles suficientes para reproducir el problema
• No explote la vulnerabilidad ni acceda a datos de otros usuarios
• Denos tiempo razonable para corregir antes de divulgar

Reconocemos públicamente a los investigadores que reporten vulnerabilidades válidas (con su consentimiento).

11. Capacitación

Invertimos en la formación continua de nuestro equipo:

• Capacitación obligatoria en seguridad para todos los empleados
• Entrenamiento especializado para desarrolladores
• Simulaciones de phishing y concienciación
• Actualización constante sobre amenazas emergentes

12. Contacto

Para consultas sobre seguridad de la información: