01Contexto y relación con la Política de Privacidad

Esta política regula la salvaguarda técnica y operativa de los datos personales y comerciales tratados por Pacific Tech Colombia SAS. Complementa la Política de Privacidad (Ley 1581 de 2012) y se aplica a toda la información alojada o procesada por nosotros, incluyendo los datos de los clientes y el contenido que los clientes cargan en sus servicios.

02Seguridad de la información

Adoptamos controles basados en el modelo de defensa en profundidad, alineados con mejores prácticas (CIS Controls, ISO/IEC 27001). Incluyen perímetros de red, segmentación, endurecimiento de sistemas y gestión de vulnerabilidades con parches en un plazo objetivo según la severidad.

03Cifrado

• En tránsito: el tráfico de los servicios y del panel se cifra con TLS 1.2 o superior (HTTPS); soportamos HTTP/2 y forward secrecy;
• En reposo: las bases de datos, volúmenes y backups sensibles se cifran con AES-256 cuando el producto lo contempla;
• Claves: las claves de cifrado se gestionan de forma independiente (HSM/KMS donde aplique) y se rotan periódicamente;
• Credenciales de usuario: el acceso de clientes utiliza hash seguro (bcrypt o similar) y soporta 2FA.

04Backups y recuperación

Realizamos copias de seguridad de las plataformas internas y de los servicios que incluyen el producto backups (ver Política de Backups). Se conservan en almacenamiento aislado con cifrado y se prueban restauraciones de forma periódica. Los objetivos de recuperación dependen del producto y se informan al contratar.

05Gestión de accesos

• Acceso mínimo por rol y necesidad de saber (RBAC) al panel administrativo y de soporte;
• Autenticación multifactor para el personal técnico y las cuentas de soporte;
• Auditoría de accesos con registro de quién, cuándo y desde dónde se accede a los sistemas;
• Los niveles de acceso del Cliente a su propio servicio se regulan por el panel de clientes (roles de usuario cuando aplique);
• Revocación inmediata de accesos al fin de la relación laboral o contractual.

06Retención y eliminación

Los soportes de datos se conservan mientras sean necesarios para las finalidades, obligaciones legales y plazos de prescripción (Política de Privacidad). Al finalizar contrato: los datos de cuentas se eliminan (o se anonimizan) conforme a la Política de Suspensión; los backups cíclicos se purgan al expirar su período de rotación. Toda eliminación se realiza de forma segura (borrado criptográfico cuando aplique) para impedir su recuperación.

07Auditorías y cumplimiento

Realizamos auditorías internas periódicas de seguridad, revisión de accesos privilegiados y pruebas de penetración según el calendario de la organización. Los resultados se utilizan para la mejora continua del programa de seguridad. Los responsables y procesos de auditoría se regulan bajo el marco de la alta dirección.

08Respuesta a incidentes

Contamos con un equipo y procedimiento de respuesta a incidentes de seguridad (ver Política de Seguridad). Cuando un incidente involucre datos personales, evaluamos la severidad y notificamos al Titular y, cuando aplique, a la Superintendencia de Industria y Comercio, de conformidad con la normativa aplicable, dentro de los plazos legales.

09Subcontratistas y encargados

Podemos contratar encargados del tratamiento (hosting, monitoreo, pasarelas de pago, correo y herramientas de marketing) que procesan datos en nuestro nombre. En esos casos celebramos acuerdos con obligaciones equivalentes de protección, y verificamos la transparencia de dichos procesadores conforme al marco de la Ley 1581 de 2012.

10Contacto de seguridad

Consultas sobre esta política o hallazgos de seguridad: [email protected]. Soporte general: [email protected].