SEGURIDAD DE LA INFORMACIÓN

01Objetivo y alcance

G. M. Cardoso Desenvolvimento de Sistemas Ltda. (Pedreiros de Bit, CNPJ 43.402.838/0001-14) protege la confidencialidad, la integridad y la disponibilidad de todos los datos que trata, incluidos los datos de clientes, usuarios finales y plataformas de terceros integradas.

Esta política se aplica a todos los sistemas, aplicaciones, infraestructura y personas que tratan datos en nombre de Pedreiros de Bit. Esto incluye nuestros productos SaaS, herramientas internas, entornos de desarrollo y cualquier contratista que trabaje para la empresa.

02Roles y responsabilidades

Guilherme Muniz Cardoso, fundador y socio administrador, es el Responsable de Seguridad de la Información. El Responsable aprueba esta política, otorga y revoca accesos y lidera la respuesta a incidentes.

Todo empleado o contratista que se incorpore a la empresa debe leer y aceptar esta política antes de recibir acceso a sistemas de producción o a datos de clientes.

03Clasificación y minimización de datos

Clasificamos los datos en tres niveles y protegemos cada uno en consecuencia:

Datos de plataformas de terceros. Cuando un usuario conecta una cuenta de una plataforma de terceros (por ejemplo, TikTok Shop) mediante OAuth, nosotros:

• solicitamos solo los alcances (scopes) de API necesarios para las funcionalidades que el usuario utiliza activamente;
• usamos los datos únicamente para ofrecer esas funcionalidades al usuario que las autorizó;
• nunca vendemos, alquilamos ni compartimos los datos con terceros, y nunca los usamos para publicidad ni para entrenar modelos de machine learning;
• seguimos los términos para desarrolladores y las políticas de datos de cada plataforma, que prevalecen cuando son más estrictos que esta política.

04Control de acceso y autenticación

• Mínimo privilegio: las personas y los servicios reciben solo los accesos que necesitan, y el acceso se retira en cuanto deja de ser necesario.
• La autenticación multifactor (MFA) es obligatoria en todas las cuentas de la empresa: proveedores de nube, repositorios de código, registrador de dominios, correo electrónico y portales para desarrolladores.
• Cuentas individuales: las credenciales nunca se comparten. Las contraseñas se generan y almacenan en un gestor de contraseñas.
• El acceso a producción está limitado al Responsable de Seguridad. El acceso a las bases de datos de producción queda registrado.
• Autenticación de usuarios: nuestras aplicaciones autentican a los usuarios mediante OAuth 2.0 o un proveedor de identidad gestionado y nunca almacenan contraseñas de plataformas de terceros.
• Revisión de accesos: todas las cuentas y permisos se revisan al menos cada seis meses.

05Cifrado y gestión de secretos

• En tránsito: todo el tráfico hacia y desde nuestras aplicaciones y APIs utiliza TLS 1.2 o superior. Las solicitudes HTTP se redirigen a HTTPS.
• En reposo: las bases de datos, los backups y el almacenamiento de archivos se cifran con el cifrado gestionado de nuestros proveedores de nube (AES-256).
• Los tokens OAuth se cifran además a nivel de aplicación antes de almacenarse, y los tokens de actualización se rotan según lo permita cada plataforma.
• Los secretos (claves de API, secretos de aplicaciones, credenciales de bases de datos) se almacenan en variables de entorno o en un gestor de secretos administrado. Nunca se incluyen en el código fuente, se imprimen en logs ni se envían por chat o correo electrónico.
• Rotación: un secreto se rota de inmediato si se sospecha una exposición, y siempre que alguien con acceso a él deja la empresa.

06Desarrollo seguro e infraestructura

• Entornos separados: desarrollo, pruebas y producción están aislados. Los datos de producción nunca se copian a desarrollo; las pruebas usan cuentas sandbox o de prueba proporcionadas por cada plataforma.
• Control de versiones: todo el código vive en repositorios privados con la rama principal protegida. Los cambios en producción pasan por revisión antes del despliegue.
• Las dependencias se monitorean con escaneo automatizado de vulnerabilidades, y las actualizaciones de seguridad críticas se aplican en un plazo de 7 días.
• Código seguro: validamos todas las entradas, usamos consultas parametrizadas a la base de datos, nos protegemos contra las vulnerabilidades web más comunes (OWASP Top 10) y verificamos la firma de cada webhook recibido.
• Logs y monitoreo: las aplicaciones registran eventos de autenticación, errores y accesos a operaciones sensibles. Los logs nunca contienen tokens, secretos ni datos personales completos, y se conservan durante 90 días.
• Backups: las bases de datos de producción se respaldan a diario, de forma cifrada, y la restauración se prueba periódicamente.
• Dispositivos: los equipos de trabajo usan cifrado de disco completo, bloqueo automático de pantalla y sistemas operativos actualizados.

07Seguridad de red

No operamos redes físicas ni servidores locales (on-premise). Nuestra infraestructura funciona en plataformas de nube gestionadas, bajo un modelo de responsabilidad compartida: los proveedores protegen la red y los hosts subyacentes, y nosotros protegemos nuestra configuración, aplicaciones y datos.

Segregación de red

• Desarrollo, pruebas y producción funcionan en entornos aislados, con credenciales, redes y bases de datos separadas.
• Las bases de datos de producción no son accesibles desde internet. Solo aceptan conexiones de nuestros servidores de aplicación, mediante red privada o listas de IPs permitidas.
• Solo HTTPS (puerto 443) está expuesto públicamente. El resto del tráfico entrante se bloquea por defecto.

Detección y prevención de intrusiones

• Todo el tráfico público pasa por una red perimetral (edge) con Web Application Firewall (WAF), mitigación de DDoS, protección contra bots y limitación de solicitudes (rate limiting), que detectan y bloquean solicitudes maliciosas antes de que lleguen a nuestras aplicaciones.
• Solo utilizamos proveedores de nube que ejecutan detección de intrusiones a nivel de red y de host en su infraestructura y cuentan con certificación SOC 2 o ISO 27001.
• Cualquier servidor autogestionado debe ejecutar prevención de intrusiones en el host (como CrowdSec o Fail2ban), permitir SSH solo con autenticación por clave desde IPs permitidas y recibir actualizaciones de seguridad automáticamente.

Monitoreo

• Monitoreamos eventos de autenticación, tasas de error y tráfico anómalo, con alertas automáticas enviadas al Responsable de Seguridad de la Información.
• Las reglas de firewall y WAF se revisan al menos cada seis meses y después de cualquier incidente.

08Seguridad de endpoints y requisitos mínimos diarios

Todo equipo utilizado para trabajar para la empresa, incluidos los de contratistas, debe cumplir estos requisitos antes de acceder a sistemas o datos de la empresa:

• Protección de endpoints: el antivirus y antimalware integrados, con análisis en tiempo real y actualizaciones automáticas (XProtect y Gatekeeper en macOS, o Microsoft Defender), se mantienen activados.
• Actualizaciones: la instalación automática de actualizaciones del sistema operativo, del navegador y de seguridad está activada.
• Cifrado de disco: el cifrado de disco completo (FileVault o BitLocker) está activado.
• Bloqueo de pantalla: la pantalla se bloquea automáticamente tras 5 minutos de inactividad y requiere contraseña para desbloquearse. Los usuarios bloquean la pantalla siempre que se alejan.
• Contraseñas: las contraseñas tienen al menos 14 caracteres, son únicas para cada servicio y se generan y almacenan en un gestor de contraseñas.
• La autenticación multifactor está activada en todas las cuentas que la admiten.
• Escritorio limpio y pantalla limpia: las credenciales y los datos de clientes nunca se anotan en papel, se dejan visibles en pantalla ni se consultan o comentan en lugares públicos. No se comparte la pantalla en llamadas mientras haya datos confidenciales visibles.
• Los dispositivos perdidos o robados se comunican de inmediato al Responsable de Seguridad de la Información, y se revocan todas las sesiones y credenciales del dispositivo.

09Gestión de vulnerabilidades

Identificamos y corregimos vulnerabilidades mediante el siguiente proceso:

• Detección: el escaneo automatizado de dependencias (GitHub Dependabot) se ejecuta en todos los repositorios. También seguimos los avisos de seguridad de nuestros proveedores de nube y de las plataformas con las que nos integramos.
• Priorización: cada vulnerabilidad se clasifica por gravedad, usando la puntuación CVSS cuando está disponible, y según afecte o no a código o datos en producción.
• Plazos de corrección:

• Verificación: las correcciones se prueban y revisan antes del despliegue, y se confirma el cierre de la vulnerabilidad.
• Reporte: cualquier persona puede reportar una vulnerabilidad a security@pedreirosdebit.com. La recepción se confirma en un plazo de 3 días hábiles.

10Retención, eliminación de datos y derechos de los usuarios

Cumplimos la Ley General de Protección de Datos de Brasil (LGPD, Ley n.º 13.709/2018) y conservamos los datos personales solo durante el tiempo necesario para la finalidad con la que fueron recopilados.

• Desconexión: cuando un usuario revoca el acceso o desconecta una cuenta de terceros, detenemos de inmediato todas las llamadas a la API y eliminamos los tokens relacionados. Los datos obtenidos de esa cuenta se eliminan en un plazo de 30 días, salvo que una ley exija conservarlos.
• Eliminación de cuenta: los usuarios pueden solicitar la eliminación de su cuenta y sus datos en cualquier momento. Las solicitudes se completan en un plazo de 15 días.
• Derechos de los usuarios: los usuarios pueden solicitar el acceso, la corrección o una copia de sus datos personales escribiendo a privacy@pedreirosdebit.com.
• Los backups que contengan datos eliminados expiran mediante la rotación normal de backups en un plazo de 35 días.

11Proveedores externos

Utilizamos proveedores de nube consolidados para hosting, bases de datos y envío de correos electrónicos. Antes de adoptar un proveedor que vaya a tratar datos restringidos o confidenciales, verificamos que:

• cifre los datos en tránsito y en reposo;
• cuente con certificaciones de seguridad reconocidas (como SOC 2 o ISO 27001) o publique documentación de seguridad equivalente;
• ofrezca términos de tratamiento de datos compatibles con la LGPD.

Mantenemos una lista interna de los proveedores que tratan datos personales y la compartimos con las plataformas asociadas cuando lo solicitan.

12Respuesta a incidentes

Un incidente de seguridad es cualquier evento que comprometa, o pueda comprometer, la confidencialidad, la integridad o la disponibilidad de los datos. El Responsable de Seguridad gestiona cada incidente en cinco pasos:

1. 1Contener: revocar las credenciales y tokens expuestos, bloquear accesos sospechosos y aislar los sistemas afectados.
2. 2Evaluar: identificar qué datos, usuarios y plataformas se vieron afectados.
3. 3Notificar: informar a los usuarios afectados y a las plataformas asociadas pertinentes (como TikTok Shop) sin demora indebida, y en un plazo de 72 horas desde la confirmación, o antes si los términos del socio lo exigen. Cuando la LGPD lo exija, también se notifica a la Autoridad Nacional de Protección de Datos de Brasil (ANPD).
4. 4Corregir: eliminar la causa raíz y restablecer el funcionamiento normal.
5. 5Revisar: documentar el incidente, su causa y las acciones tomadas, y actualizar esta política si es necesario.

Las vulnerabilidades o incidentes pueden reportarse a security@pedreirosdebit.com.

13Revisión de la política y contacto

El Responsable de Seguridad revisa esta política al menos una vez al año, y siempre que haya un cambio significativo en nuestros productos, infraestructura o en la legislación aplicable. La versión vigente está siempre publicada en https://pedreirosdebit.com/es/security.