Política de Seguridad de la Información

1. Compromiso

Gtrack SPA se compromete a proteger la confidencialidad, integridad y disponibilidad de los documentos y datos que nuestros clientes y sus firmantes gestionan en GSign, con privacidad desde el diseño conforme a la Ley N° 21.719, y a mantener su sistema de gestión de seguridad de la información certificado bajo ISO/IEC 27001, junto con su sistema de gestión de la calidad certificado bajo ISO 9001.

La Dirección de Gtrack SPA se compromete a proveer los recursos necesarios, cumplir los requisitos legales y contractuales aplicables y mejorar de forma continua los controles de seguridad.

2. Alcance

Esta política aplica a todo el personal, procesos, sistemas, infraestructura en la nube y proveedores que intervienen en el desarrollo, operación y soporte de GSign, y a toda la información que nuestros clientes gestionan en la plataforma.

3. Principios

• Mínimo privilegio: los accesos se otorgan con los permisos estrictamente necesarios y se revisan periódicamente
• Defensa en profundidad: varias capas de controles protegen la infraestructura y los datos
• Gestión basada en riesgos: identificamos, evaluamos y tratamos los riesgos de seguridad de forma sistemática
• Responsabilidad individual: cada colaborador es responsable de proteger la información a la que accede
• Separación de clientes: la información de cada organización está aislada lógicamente de la de las demás

4. Infraestructura

La plataforma opera sobre Google Cloud Platform, en la región us-central1 (Iowa, Estados Unidos), cuyos centros de datos cuentan con certificaciones internacionales de seguridad y redundancia. Los ambientes de desarrollo, pruebas y producción están separados, y el procesamiento de documentos corre en un servicio separado del resto de los sistemas de Gtrack SPA.

5. Cifrado

Datos en tránsito

• HTTPS obligatorio con TLS en toda la plataforma y el sitio
• Certificados renovados de forma automática

Datos en reposo

• Bases de datos, archivos adjuntos y respaldos cifrados
• Gestión segura de claves y secretos

Credenciales

• Contraseñas almacenadas con algoritmos de hash robustos, nunca en texto plano
• Sesiones con expiración y tokens firmados

6. Control de Acceso

• Roles: el cliente define qué ve y qué puede hacer cada usuario (administrador, emisor o lector) y qué equipos comparten documentos y plantillas
• Verificación del firmante: cada firmante confirma su número de WhatsApp con un código de un solo uso y de vigencia limitada antes de acceder a firmar
• Enlaces de firma únicos por firmante, que dejan de funcionar cuando el documento se firma, se anula o expira
• Políticas de contraseñas y bloqueo tras intentos fallidos
• Cierre de sesión automático por inactividad
• Accesos internos: el personal de Gtrack SPA solo accede a la información de un cliente cuando es necesario para soporte o seguridad, con registro y deber de confidencialidad

7. Respaldos y Continuidad

• Respaldos automáticos incluidos en todos los planes
• Copias cifradas almacenadas en una ubicación distinta a la de producción
• Pruebas de restauración periódicas
• Plan de continuidad y de recuperación ante desastres documentado y revisado

8. Desarrollo Seguro

• Seguridad integrada en todo el ciclo de desarrollo
• Revisión de código por pares antes de cada publicación
• Análisis automatizado de vulnerabilidades en el código y sus dependencias
• Despliegues controlados, con trazabilidad de cada cambio

9. Monitoreo y Trazabilidad

• Monitoreo continuo de la disponibilidad y del rendimiento de la plataforma
• Alertas automáticas ante comportamientos anómalos
• Protección frente a ataques web y de denegación de servicio
• Registro de auditoría con sello de tiempo de los accesos y de cada envío, apertura, verificación, firma, rechazo y anulación: los eventos se agregan y nunca reemplazan a los anteriores
• Hash SHA-256 de cada documento firmado registrado en su certificado de evidencia, para detectar cualquier alteración posterior

10. Gestión de Incidentes

Contamos con un procedimiento documentado de gestión de incidentes de seguridad: detección, contención, análisis de causa raíz, corrección y acciones para evitar que se repitan.

Si un incidente compromete datos de un cliente, se lo notificaremos sin demora indebida y, en todo caso, dentro de 72 horas desde que lo confirmemos, junto con las medidas adoptadas. También informaremos a la autoridad cuando la ley lo exija.

11. Reporte de Vulnerabilidades

Si descubres una posible vulnerabilidad en GSign:

• Repórtala de forma responsable a soporte@gtrack.io
• Incluye detalles suficientes para reproducirla
• No la explotes ni accedas a datos de otros usuarios
• Danos un plazo razonable para corregirla antes de divulgarla

12. Concientización

Todo el personal de Gtrack SPA recibe capacitación en seguridad de la información al menos una vez al año, además de formación específica según su rol.

13. Contacto

Para consultas sobre seguridad de la información: