Sus cuentas y sus datos siguen siendo suyos
Un socio de crecimiento ve presupuestos, resultados y pipelines de clientes. Ese acceso debe ser limitado, quedar registrado y poder revocarse con facilidad. El servicio funciona de forma distribuida y cifrada en más de 125 países, y los controles que se describen a continuación están integrados en FOCUSADS.si. Explicamos lo que hacen, no los proveedores ni las versiones que hay detrás, para que esta página no sirva de mapa a posibles atacantes.
Tres reglas en torno a las que diseñamos
Usted conserva la titularidad
Las cuentas publicitarias, los píxeles, la analítica y el CRM siguen a su nombre. Trabajamos mediante el acceso de usuario o de partner que usted concede y que puede retirar en cualquier momento. Nunca pedimos contraseñas.
Privilegio mínimo, siempre
El personal solo ve lo que su función requiere. Los clientes solo ven su propio espacio de trabajo. Cada acción sensible deja un registro de auditoría que no puede modificarse después.
Evidencias antes que afirmaciones
Las cifras que presentamos indican su plataforma de origen, la cuenta, el periodo, la moneda y el momento de recogida, para que usted pueda contrastarlas con el panel nativo.
Controles en el producto
Autenticación de dos factores obligatoria
Cada cuenta de cliente y de personal debe registrar una aplicación de autenticación (Google Authenticator o cualquier aplicación TOTP) antes de que se abra el panel o la consola de operaciones.
- Código QR y clave manual en el registro, confirmados con un primer código.
- Códigos de recuperación de un solo uso, almacenados únicamente como hashes.
- Los inicios de sesión y los eventos de MFA se registran en el registro de auditoría.
Aislamiento de clientes en dos capas
Cada espacio de trabajo de cliente está separado en el código de la aplicación y de nuevo dentro de la propia capa de datos, de modo que, aunque falle una comprobación en el código, no se pueden devolver registros de otro cliente.
- Cada solicitud se ejecuta en un ámbito que fija el espacio de trabajo y el rol.
- Autorización en el servidor en cada lectura y escritura; nunca se confía en el navegador para los roles.
- Las pruebas automatizadas intentan acceder entre clientes a informes, inversión, tareas, facturas y planes de medios.
Acceso delegado a las plataformas
Solicitamos el acceso mediante vinculaciones de administrador de Google Ads, acceso de partner de Meta Business, funciones de cuenta de LinkedIn y funciones equivalentes de cada plataforma. Usted puede ver y revocar cada permiso desde la configuración de la plataforma.
- Sin inicios de sesión compartidos ni recopilación de contraseñas.
- El estado del acceso se muestra por cuenta en su panel.
Registro de auditoría de solo adición
Se registran los inicios de sesión, los cambios de MFA, los cambios de roles y accesos, los eventos de facturación, la publicación de informes y las exportaciones de datos. La base de datos rechaza las modificaciones o eliminaciones de registros de auditoría.
- Las direcciones IP se seudonimizan antes de almacenarse.
- Los secretos y los tokens nunca se escriben en los registros.
Transporte cifrado y cabeceras estrictas
Todo el tráfico utiliza TLS con HSTS. La aplicación envía una política de seguridad de contenidos, protección frente a frames, una política de referrer estricta y una política de permisos restrictiva.
- Las cookies de sesión son HttpOnly, Secure y SameSite=Lax.
- Los endpoints de inicio de sesión y de formularios tienen limitación de frecuencia.
Pagos con tarjeta fuera de nuestros sistemas
El proceso de pago, las facturas y el portal de facturación funcionan con un proveedor de pagos certificado PCI DSS. Los números de tarjeta nunca llegan a nuestros servidores. El estado de los pagos solo cambia con eventos firmados y verificados, cada uno procesado una sola vez.
- Los eventos repetidos no tienen efecto.
- La inversión en medios no se cobra a través de FOCUSADS salvo que su formulario de pedido así lo indique.
Ingesta de datos firmada
Las evidencias de rendimiento solo entran en la plataforma mediante solicitudes firmadas criptográficamente, de duración limitada y de un solo uso, de modo que los datos recogidos no pueden falsificarse ni reproducirse.
- Las solicitudes tardías o repetidas se rechazan.
- Las correcciones se guardan como revisiones; las versiones publicadas de los informes no pueden modificarse.
Distribuido y cifrado en más de 125 países
El servicio se presta desde una red distribuida que abarca más de 125 países, con cifrado en tránsito y en reposo. Los entornos de producción y de pruebas están totalmente separados, y los entornos de pruebas nunca se indexan.
- Los secretos se guardan en un almacén de secretos gestionado, separado por entorno, nunca en el código fuente.
- En cada cambio se ejecutan análisis de dependencias, secretos y código.
Tratamiento de datos de un vistazo
- Responsable del tratamiento
- THEFOCUS LTD para las consultas y cuentas del sitio web; usted, el cliente, para los datos de su espacio de trabajo.
- Legislación aplicable
- El RGPD del Reino Unido (UK GDPR), la Data Protection Act 2018 y la PECR.
- Categorías especiales de datos
- No se aceptan. No deben cargarse ni utilizarse para la segmentación datos de salud ni otros datos sensibles.
- Notificación de violaciones de seguridad
- Se notifica a los clientes sin dilación indebida, en un plazo de 48 horas desde que tenemos conocimiento.
- Retención
- Registros de auditoría, 24 meses; registros de clientes, la duración del contrato más 6 años; consultas no convertidas, 24 meses.
- Subencargados del tratamiento
- Enumerados por categoría en la página de subencargados: infraestructura y alojamiento, pagos, correo electrónico y analítica (solo con consentimiento). La lista nominal está disponible para los clientes en el panel y previa solicitud.
¿Ha encontrado una vulnerabilidad?
Comuníquela a través del formulario de contacto y elija «Informe de seguridad». Incluya la URL afectada, los pasos para reproducirla y su impacto. Le rogamos que no acceda a datos que no sean suyos ni interrumpa el servicio. Acusamos recibo de los informes en un plazo de dos días hábiles del Reino Unido y le mantenemos informado hasta que se publique la corrección.
Enviar un informe de seguridadLo que no afirmamos
- Actualmente no contamos con la certificación ISO 27001 ni SOC 2. Si eso cambia, esta página lo indicará con los datos del certificado.
- No somos socios oficiales de las plataformas publicitarias mencionadas en este sitio, salvo que una página indique el programa concreto.
- Ningún control de seguridad elimina todo el riesgo. Describimos lo que tenemos implantado y cómo respondemos cuando algo sale mal.
¿Necesitan las contraseñas de nuestras cuentas publicitarias? No. Solicitamos el acceso a través del propio sistema de permisos de cada plataforma, por ejemplo una vinculación con una cuenta de administrador de Google Ads o el acceso de partner de Meta Business. Usted lo aprueba en la plataforma y puede retirarlo en cualquier momento.
¿Puede otro cliente ver nuestros datos? No. Los espacios de trabajo están aislados en el código de la aplicación y de nuevo en la capa de datos, y probamos automáticamente los intentos de acceso entre clientes.
¿Es opcional la autenticación de dos factores? No. Cada cuenta de cliente y de personal debe configurar una aplicación de autenticación antes de acceder al panel o a la consola de operaciones.
¿Dónde se alojan nuestros datos? En una red distribuida y cifrada que abarca más de 125 países. Las transferencias fuera del Reino Unido se basan en garantías reconocidas, descritas en el aviso de privacidad y en la página de subencargados.
¿Necesita una revisión de seguridad antes de firmar?
Los equipos de grandes empresas pueden solicitar nuestras respuestas al cuestionario de seguridad y el anexo de tratamiento de datos durante la fase de cualificación.