Enfoque de seguridad
Sytance aplica medidas técnicas y organizativas en todo el servicio alojado, el ciclo de vida del desarrollo de software y las operaciones de soporte. Los controles se seleccionan y revisan en función de la información tratada, la arquitectura del Servicio, las amenazas plausibles y el posible efecto en los clientes.
Esta página ofrece una descripción general pública; no es un informe de auditoría, una certificación, el resultado de una prueba de penetración ni un anexo contractual de seguridad. Los requisitos específicos de seguridad, aseguramiento, ubicación de datos o notificación de cada Cliente deben acordarse mediante el proceso comercial aplicable.
Identidad y acceso
- El acceso se basa en cuentas de usuario individuales y permisos asignados por función.
- Los administradores del Cliente controlan las membresías y la asignación de funciones dentro de su organización y sus espacios de trabajo.
- Las solicitudes de Contenido del Cliente se verifican frente a las reglas de acceso de la organización, el espacio de trabajo y cada objeto.
- Las sesiones de autenticación utilizan cookies HTTP-only configuradas por el servidor y protecciones contra solicitudes entre sitios en producción.
- El acceso autorizado de soporte administrativo se limita al entorno del cliente correspondiente y queda registrado.
Separación entre organizaciones y protección de datos
- Los controles de la aplicación y la base de datos contribuyen a mantener separados los registros de distintas organizaciones.
- El tráfico de navegador y API en producción está protegido en tránsito mediante HTTPS en el límite público del Servicio.
- Los archivos y contenidos multimedia de los clientes se entregan a través de rutas autenticadas y no mediante enlaces públicos sin restricciones.
- Algunas vistas previas y descargas utilizan enlaces de acceso con vigencia limitada.
- Los campos conocidos de credenciales, tokens, cookies y secretos se excluyen de los registros ordinarios de la aplicación o se ocultan en ellos.
- El acceso a los datos se limita a las funciones del Servicio, las instrucciones del Cliente, las necesidades de soporte o las responsabilidades operativas que lo requieran.
Desarrollo seguro y gestión de cambios
- Tenemos en cuenta los requisitos y la arquitectura de seguridad al diseñar y revisar las funciones pertinentes.
- La revisión de código y las comprobaciones automatizadas ayudan a identificar defectos antes del despliegue.
- Los cambios se entregan mediante prácticas controladas de compilación y despliegue, separando las actividades de desarrollo de las operaciones de producción.
- Las dependencias y vulnerabilidades notificadas se evalúan según su pertinencia, explotabilidad, exposición y posible impacto en el Servicio.
Supervisión y respuesta a incidentes
Los eventos de autenticación, permisos, administración, aplicación e infraestructura pertinentes para la seguridad se registran o supervisan, según corresponda, para respaldar la detección, la investigación y la rendición de cuentas.
La autenticación y determinados endpoints públicos utilizan límites de frecuencia y controles de prevención de abusos. Los incidentes sospechosos se evalúan mediante un proceso que abarca clasificación, contención, investigación, corrección, recuperación y lecciones aprendidas.
Si un incidente requiere notificar a un Cliente o a un organismo regulador, lo haremos conforme a la legislación aplicable y al acuerdo pertinente con el Cliente.
Si sospecha que una cuenta se ha visto comprometida, contacte con support@sytance.com; si sospecha una vulnerabilidad o exposición de datos, escriba a security@sytance.com. Indique la cuenta o el activo afectado, la hora y el comportamiento observado, pero no envíe contraseñas, tokens de sesión ni archivos de clientes innecesarios. Es posible que solicitemos un método seguro para intercambiar pruebas adicionales.
Cuando tratemos datos personales afectados por cuenta de un Cliente, las notificaciones y la colaboración en relación con el incidente se rigen por el Apéndice A de las Condiciones del servicio. La notificación inicial no se demora hasta que se hayan establecido todos los hechos; se proporciona información adicional a medida que avanza la investigación.
Tratamiento asistido por IA
Las acciones asistidas por IA se ejecutan en flujos de trabajo autenticados del producto. El Servicio envía las instrucciones y el contexto del espacio de trabajo pertinentes para la función solicitada, y los resultados quedan sujetos a la revisión del Cliente.
Gestión de vulnerabilidades
Las posibles vulnerabilidades pueden identificarse mediante comprobaciones durante el desarrollo, supervisión operativa, información sobre dependencias, informes de clientes o investigadores y evaluaciones de seguridad específicas. Los hallazgos se validan y priorizan con factores de riesgo como la gravedad, explotabilidad, exposición, datos y usuarios afectados, pruebas de explotación activa y mitigaciones disponibles.
Los investigadores externos pueden informar de una presunta vulnerabilidad mediante nuestro proceso de divulgación coordinada. La política define las investigaciones autorizadas, los requisitos de notificación, los plazos de respuesta previstos, la protección para la investigación de buena fe y la coordinación de la divulgación.
Consultas y garantías de seguridad
Los clientes actuales y potenciales pueden plantear consultas de seguridad o solicitar información complementaria a través de hello@sytance.com o de su contacto comercial habitual. Las solicitudes deberían ser proporcionales a sus necesidades. Los clientes actuales deberían utilizar support@sytance.com para comunicar una posible vulneración de cuenta o un problema de seguridad que afecte al Servicio.
Informe de forma privada de cualquier presunta vulnerabilidad a security@sytance.com conforme a la Política de divulgación de vulnerabilidades.
La información de seguridad puede compartirse con medidas proporcionadas de confidencialidad y control de acceso para evitar la exposición de otros clientes o de detalles técnicos explotables. Una solicitud de garantías no autoriza pruebas de penetración. Los derechos contractuales de auditoría y las facultades legales de los organismos reguladores siguen rigiéndose por el acuerdo aplicable y la ley.
