Seguridad
Cómo desarrollamos, operamos y protegemos la plataforma Xbrandify y qué puede esperar tu equipo de nosotros. Nuestras prácticas, explicadas con claridad.
Your Brand Travel International AB, la empresa responsable de Xbrandify, mantiene esta página para responder a las preguntas habituales sobre la seguridad y la privacidad de la plataforma. Describe nuestras prácticas. No es una certificación, un informe de auditoría ni una declaración de verificación independiente. La seguridad es una responsabilidad compartida: nosotros protegemos la plataforma, nuestros clientes protegen sus propias cuentas, usuarios y contenidos y ambas partes se apoyan en los compromisos establecidos en nuestros acuerdos escritos.
Alojamiento e infraestructura
La plataforma funciona sobre infraestructura gestionada en la nube en lugar de hardware gestionado por nosotros. Por ello, los proveedores de alojamiento que utilizamos se encargan de los parches, la seguridad física y el refuerzo de la seguridad de la red en la capa de infraestructura.
Proveedores de alojamiento y ubicación principal de los datos: [TO CONFIRM: hosting providers and regions].
Cifrado en tránsito y en reposo
El tráfico entre los navegadores, nuestros servicios y nuestros almacenes de datos se cifra en tránsito mediante TLS. Los datos almacenados en nuestras bases de datos gestionadas y en el almacenamiento de objetos se cifran en reposo mediante la plataforma subyacente.
Versión mínima de TLS exigida y política de cifrado: [TO CONFIRM: TLS policy].
Control de acceso y mínimo privilegio
El acceso interno a los sistemas de producción y a los datos de los clientes se limita a las personas que lo necesitan para operar el servicio y prestar asistencia. Se concede según el principio de mínimo privilegio en función del rol, no por defecto.
Los accesos se revisan y se retiran cuando una persona cambia de función o deja la empresa. Frecuencia de revisión: [TO CONFIRM: access review cadence].
Autenticación
Los usuarios de nuestros clientes inician sesión a través de nuestra capa de autenticación gestionada. Esta capa almacena las credenciales como hashes con sal, nunca en texto sin formato. Las sesiones se emiten como tokens firmados con caducidad.
Opciones disponibles, como el inicio de sesión único y la autenticación multifactor, y dónde son obligatorias: [TO CONFIRM: SSO and MFA availability and enforcement].
Aislamiento entre clientes y seguridad a nivel de fila
Los datos de cada cliente están separados de forma lógica. El acceso a la base de datos se rige por políticas de seguridad a nivel de fila, de modo que una solicitud solo puede leer o escribir filas que pertenezcan al entorno del cliente y al usuario autenticados. La autorización se aplica en la base de datos, no solo en el código de la aplicación.
El acceso privilegiado a la base de datos que permite omitir las políticas se limita a operaciones específicas del lado del servidor y no está disponible para el código del navegador.
Gestión de secretos
Las claves de API, los tokens y otras credenciales se almacenan como secretos gestionados y se inyectan en el código del lado del servidor durante la ejecución. Nunca se incorporan al repositorio de código ni se incluyen en los paquetes del lado del cliente. Las llamadas a servicios de terceros que requieren un secreto se realizan únicamente desde el servidor.
Prácticas de rotación de secretos: [TO CONFIRM: secret rotation process].
Registros y supervisión
Recopilamos registros de la aplicación y de la infraestructura, junto con informes de errores, para detectar fallos y actividad inusual e investigar lo sucedido. Los registros se mantienen separados de las interfaces accesibles para los clientes y su acceso está restringido.
Conservación de registros y umbrales de alerta: [TO CONFIRM: log retention and alerting].
Copias de seguridad
La plataforma subyacente realiza copias de seguridad de los datos de los clientes almacenados en nuestras bases de datos gestionadas para que podamos recuperarlos en caso de pérdida o corrupción. Solo el personal autorizado puede realizar restauraciones.
Frecuencia de las copias de seguridad, conservación y objetivos de recuperación: [TO CONFIRM: backup frequency, retention, RPO and RTO].
Gestión de vulnerabilidades
Mantenemos las dependencias actualizadas, revisamos los cambios de código antes de que lleguen a producción y ejecutamos análisis automatizados del código y sus dependencias para detectar vulnerabilidades conocidas. Los problemas se clasifican según su gravedad y se corrigen mediante nuestro proceso habitual de publicación de versiones. Las correcciones urgentes se publican fuera de ese ciclo.
Plazos objetivo de corrección según la gravedad y pruebas externas, si las hay: [TO CONFIRM: remediation SLAs and penetration testing cadence].
Diligencia debida con los subencargados del tratamiento
Mantenemos deliberadamente reducido el número de proveedores con acceso a los datos de los clientes. Antes de que un proveedor trate datos personales por nuestra cuenta, lo evaluamos, formalizamos un acuerdo escrito de tratamiento de datos y confirmamos un mecanismo de transferencia adecuado si los datos salen del Espacio Económico Europeo.
La lista actualizada se mantiene en nuestra Política de privacidad: [TO CONFIRM: full subprocessor list].
Respuesta a incidentes y notificación de brechas de seguridad
Disponemos de un proceso interno para detectar, clasificar, contener y resolver incidentes de seguridad, así como para documentar lo sucedido y los cambios que realizamos después.
Cuando actuamos como encargados del tratamiento de los datos de los huéspedes, notificamos al cliente afectado, como responsable del tratamiento, sin dilación indebida tras tener constancia de una violación de la seguridad de los datos personales. Le facilitamos la información que necesita para cumplir sus propias obligaciones. Según el artículo 33 del RGPD, el responsable del tratamiento debe notificar a la autoridad de control competente en un plazo de 72 horas desde que tenga constancia de una violación que deba notificarse. Nuestra notificación está diseñada para facilitar el cumplimiento de ese plazo. En Suecia, la autoridad de control es Integritetsskyddsmyndigheten (IMY).
Canal de notificación a clientes y procedimiento de escalado: [TO CONFIRM: notification process].
Divulgación responsable
Si crees haber encontrado una vulnerabilidad de seguridad en nuestra plataforma, queremos saberlo. Comunícanosla de forma privada, con suficiente detalle para que podamos reproducir el problema, y danos un plazo razonable para investigarlo y corregirlo antes de divulgarlo públicamente.
Evita las pruebas que degraden el servicio y no accedas a datos de otras personas ni los modifiques o conserves. Confirmaremos la recepción de tu informe y te mantendremos al tanto mientras trabajamos en él.
Informes: [TO CONFIRM: security contact email]
¿Necesitas más detalles para una revisión de seguridad?
Las empresas que ya son clientes o están valorando serlo pueden solicitar documentación adicional, como nuestro Acuerdo de tratamiento de datos, la lista de subencargados del tratamiento, detalles sobre el alojamiento y la ubicación de los datos y respuestas a su propio cuestionario de seguridad. Cuéntanos qué requiere tu revisión y lo abordaremos contigo.