Política de Seguridad de la Información

1. Protección del dato en tránsito y en reposo

1. 1.1Todo el tráfico usa HTTPS. El encabezado HSTS instruye al navegador a nunca intentar una conexión no cifrada con el dominio.
2. 1.2La base de datos y el almacenamiento de archivos quedan cifrados en reposo por los respectivos proveedores.
3. 1.3Los tokens de integración de terceros son cifrados con AES-256-GCM antes de ser grabados.
4. 1.4Las grabaciones de pantalla y audios quedan en un bucket privado, sin URL pública. El acceso ocurre por enlace firmado con validez de 1 hora, generado solo para quien tiene permiso en el espacio de trabajo.

2. Autenticación y control de acceso

1. 2.1Las contraseñas son guardadas solo como resumen criptográfico con bcrypt.
2. 2.2La sesión es mantenida por token firmado con secreto del servidor.
3. 2.3Cada espacio de trabajo tiene cuatro roles: dueño, administrador, editor y lector. El permiso es leído de la base de datos en cada solicitud, y no solo del token, para que la remoción de acceso tenga efecto inmediato.
4. 2.4Toda consulta a datos de estudio es aislada por espacio de trabajo.
5. 2.5El panel administrativo interno está restringido a direcciones autorizadas por configuración, y cada acción queda registrada en una pista de auditoría con autor, acción, objetivo y fecha.
6. 2.6La redefinición de contraseña usa un token de uso único con plazo de validez y límite de pedidos por hora.
7. 2.7Inicio de sesión con proveedor de identidad corporativo (SSO), cuando la organización del cliente lo exige.
8. 2.8Límite de intentos de inicio de sesión por dirección de origen, para contener intentos de adivinar contraseñas.
9. 2.9Registros de acceso a la aplicación, con fecha, hora y dirección IP, guardados por 6 meses.

3. Protección contra abuso

1. 3.1Las rutas públicas, usadas por participantes, tienen límite de solicitudes por dirección y por sesión.
2. 3.2Cada cuenta tiene límites diarios de uso de inteligencia artificial, de síntesis y transcripción de voz y de envío de archivos.
3. 3.3Los eventos de recolección son deduplicados por clave única, de modo que el reenvío por red inestable no genera respuesta duplicada.
4. 3.4Los enlaces públicos de informe y de fragmento de video usan un token aleatorio largo y pueden ser revocados por el cliente.

4. Desarrollo y cambios

1. 4.1El código está versionado, y cada cambio pasa por verificación automática de tipos, pruebas automatizadas y compilación antes de la publicación.
2. 4.2Las migraciones de base de datos son aditivas y revisadas manualmente antes de ser aplicadas.
3. 4.3Los errores en producción son monitoreados, con remoción de cuerpo de solicitud y de contenido de respuesta antes del envío al proveedor de monitoreo.
4. 4.4Hay verificación automática de accesibilidad del flujo del participante en cada cambio.

5. Continuidad

1. 5.1La base de datos cuenta con copias de seguridad gestionadas por el proveedor, eliminadas en hasta 30 días.
2. 5.2Las grabaciones vencidas son eliminadas automáticamente por rutina diaria, conforme al plazo del plan.
3. 5.3Hay verificación de salud de la aplicación y alerta por correo electrónico cuando el servicio queda indisponible.

6. Lo que aún no tenemos

La transparencia aquí vale más que la apariencia. En la fecha de esta versión, los ítems abajo no están implementados y no deben ser afirmados a clientes.

1. 6.1Segundo factor de autenticación para investigadores.
2. 6.2Ambiente de homologación separado de la producción.
3. 6.3Prueba periódica de restauración de copias de seguridad, con tiempo de recuperación medido. Hubo un ensayo el 4 de septiembre de 2026; la periodicidad aún no está establecida.
4. 6.4Certificación externa de seguridad, como ISO 27001 o SOC 2.
5. 6.5Prueba de intrusión por tercero independiente.