Confianza
Seguridad de sus datos
Una plataforma de cumplimiento debe practicar lo que predica. Aquí documentamos cómo protegemos la información de las empresas que confían en RIOGUARDIAN, qué subencargados intervienen y cómo manejamos los incidentes.
Residencia de datos
Toda la información se almacena en infraestructura cloud con centros de datos ubicados en la región de las Américas. Los datos no salen de la jurisdicción acordada sin autorización expresa.
Cifrado
Cifrado en tránsito (TLS 1.2+) en todas las conexiones. Cifrado en reposo (AES-256) gestionado por la infraestructura subyacente, con rotación periódica de claves.
Aislamiento multi-tenant
Cada empresa opera en un espacio aislado mediante políticas de seguridad a nivel de fila (Row Level Security). Ningún usuario puede acceder a datos de otra organización, incluso ante errores de aplicación.
Control de acceso
Autenticación con verificación de email obligatoria. OTP por correo en cada inicio de sesión (segundo factor universal). Roles granulares con principio de mínimo privilegio. Bloqueo persistente ante intentos fallidos.
Respaldos y recuperación
Respaldos automáticos diarios con retención de 30 días. RTO objetivo: < 4 horas. RPO objetivo: < 1 hora. Pruebas de restauración periódicas documentadas.
Cumplimiento y auditoría
Registro inmutable de eventos críticos. Trazabilidad completa de documentos, firmas y aprobaciones. Diseño alineado con los principios de la Ley 527 de 1999 (equivalencia funcional, integridad, no repudio).
Certificaciones de infraestructura
La infraestructura subyacente (Supabase / AWS) cuenta con certificaciones SOC 2 Type II, ISO 27001 y conformidad con GDPR. RIOGUARDIAN se encuentra en proceso formal de auditoría SOC 2 Type II propia.
Continuidad del servicio
Compromisos operativos públicos sobre disponibilidad y recuperación.
Tiempo máximo objetivo para restaurar el servicio ante un incidente crítico.
Pérdida máxima de datos tolerada gracias a backups continuos del clúster transaccional.
Excluye ventanas de mantenimiento programado anunciadas con 48 h de antelación.
Notificación a administradores del cliente desde la confirmación del incidente.
Subencargados del tratamiento
Proveedores que intervienen en el procesamiento de datos del cliente, conforme a Ley 1581 de 2012 y Decreto 1377 de 2013.
| Subencargado | Rol | Región | Certificación |
|---|---|---|---|
| Supabase Inc. | Base de datos PostgreSQL, autenticación y almacenamiento | AWS us-east | SOC 2 Type II |
| Amazon Web Services | Infraestructura cloud subyacente | EE.UU. | SOC 1/2/3, ISO 27001 |
| Resend | Entrega de correos transaccionales (OTP, alertas) | EE.UU. | SOC 2 Type II |
| Cloudflare | WAF, mitigación DDoS y CDN | Global | SOC 2 Type II, ISO 27001 |
Los cambios materiales en la lista de subencargados se notifican a los administradores del cliente con una antelación mínima de 30 días, salvo cuando la sustitución sea necesaria por motivos de seguridad o continuidad.
Alcance del registro de auditoría
Eventos capturados de forma inmutable en company_audit_events, con actor, IP, agente, marca temporal y resultado.
- Inicio y cierre de sesión, segundo factor (OTP) y bloqueos.
- Creación, edición, aprobación, firma y archivado de documentos y políticas.
- Cambios de roles, permisos delegados y revocaciones de acceso.
- Acceso de auditores externos y portales de terceros (token-based).
- Eventos sensibles SAGRILAFT/PTEE: ROS, screening, declaraciones PEP, debida diligencia.
- Exportaciones de datos, generaciones de certificados y cierres de período.
Respuesta a incidentes
Procedimiento operativo en seis fases. Los incidentes que afecten datos personales se reportan a la SIC dentro de los plazos de la regulación colombiana.
1. Detección
Monitoreo continuo de errores, anomalías de acceso, tasa de fallos y alertas de infraestructura.
2. Contención
Aislamiento del componente afectado, revocación de credenciales comprometidas y cierre de sesiones activas si aplica.
3. Erradicación
Análisis de causa raíz, parche, redeploy y validación independiente.
4. Recuperación
Restauración de servicio, validación de integridad y reapertura controlada.
5. Comunicación
Notificación a administradores del cliente conforme al SLA y, cuando aplique, a la SIC en plazos de Ley 1581 / Decreto 1377.
6. Post-mortem
Reporte interno de lecciones aprendidas y acciones correctivas incorporadas a la matriz de riesgos.
Divulgación responsable
Si identifica una vulnerabilidad, le pedimos reportarla de forma privada antes de cualquier divulgación pública.
- Reporte a [email protected] con descripción técnica, pasos de reproducción e impacto estimado.
- Acuse de recibo en menos de 72 horas hábiles. Triage y plan de remediación en menos de 10 días hábiles para hallazgos confirmados.
- No iniciaremos acciones legales contra investigadores que actúen de buena fe, no exfiltren datos de clientes y respeten el período de remediación.
- El archivo /.well-known/security.txt publica el contacto formal según RFC 9116.
Portabilidad y eliminación garantizadas
Si decide dejar la plataforma, exportamos todos sus datos en formatos estándar (CSV, PDF) en un plazo máximo de 30 días corrientes. La eliminación definitiva se ejecuta dentro de los 90 días siguientes, conservando únicamente los registros mínimos exigidos por ley.
Detalles operativos en la Política de Retención y Eliminación.
Consultas de seguridad o cuestionarios de proveedor: [email protected] · DPO / Habeas Data: [email protected]