Declaración de seguridad

Resumen

Esta declaración resume nuestros controles de seguridad. La página Seguridad y confianza los explica con más detalle, y nuestros compromisos contractuales figuran en el Anexo de tratamiento de datos. No publicamos detalles sobre nuestros proveedores de infraestructura ni sobre nuestra arquitectura, porque hacerlo ayudaría a los atacantes.

Infraestructura

• El servicio se presta desde una red distribuida y cifrada en más de 125 países, lo que mantiene las páginas públicas cerca de los visitantes y disponibles aunque falle una ubicación.
• Todo el tráfico se cifra en tránsito con TLS actual y HTTP Strict Transport Security; los datos se cifran en reposo, incluidas las copias de seguridad.
• La aplicación envía cabeceras de seguridad estrictas, incluida una política de seguridad de contenidos.

Acceso y aislamiento

• La autenticación multifactor con códigos de una aplicación de autenticación es obligatoria para todas las cuentas de clientes y del personal; los códigos de recuperación de un solo uso se almacenan únicamente como hashes.
• Cada espacio de trabajo de cliente está aislado en la aplicación y en la capa de base de datos, de modo que ningún cliente puede leer los datos de otro.
• Los permisos del personal se basan en roles y en el mínimo privilegio; las acciones sensibles se registran en registros de auditoría de solo adición.
• Nunca pedimos contraseñas de cuentas publicitarias. Trabajamos mediante permisos de usuario o de socio de la plataforma, que el cliente controla y puede retirar en cualquier momento.

Pagos

• Los pagos con tarjeta los gestiona nuestro procesador de pagos, certificado conforme al Payment Card Industry Data Security Standard. Nunca vemos ni almacenamos números de tarjeta.
• Los clientes pagan la inversión en medios directamente a las plataformas publicitarias con sus propios métodos de pago.

Incidentes

Disponemos de un procedimiento de respuesta a incidentes con una escalada definida. Si una violación de la seguridad de los datos personales afecta a los datos de un cliente, se lo comunicamos sin dilación indebida y en un plazo de 48 horas, y lo notificamos a las autoridades de control cuando la ley lo exige.