Seguridad

Seguimos prácticas de seguridad basadas en ISO/IEC 27001 y SOC 2, pero actualmente no contamos con ninguna certificación (consulta más abajo). Nuestro equipo directivo de ingeniería es responsable del programa, que se revisa al menos una vez al año y se aplica a todos los empleados, contratistas y subencargados del tratamiento que acceden a los datos de los clientes.

• En tránsito: TLS 1.2 o superior para todas las conexiones al Servicio. HSTS está habilitado en el sitio web público.
• En reposo: AES-256 en el almacenamiento gestionado de bases de datos y de objetos.
• Secretos: Las claves de API y las credenciales se guardan en un almacén de secretos gestionado y se rotan según un calendario documentado.

• Control de acceso basado en roles con privilegios mínimos de forma predeterminada.
• Autenticación multifactor obligatoria para todo acceso administrativo a los sistemas de producción y los repositorios de código fuente.
• El acceso a producción se limita a un pequeño grupo de ingenieros con una necesidad empresarial documentada y queda registrado.
• SSO (Google) compatible con las cuentas de clientes; SAML/SCIM disponible en el plan Agency.

• Alojado en la red perimetral de Cloudflare con protección DDoS y firewall de aplicaciones web.
• Postgres gestionado en Supabase (región de la UE) con copias de seguridad automatizadas y recuperación a un punto en el tiempo.
• Segmentación de red entre las capas pública, de aplicaciones y de datos.
• Registro centralizado y supervisión continua para detectar actividad anómala.

• Todos los cambios pasan por una revisión de código y pruebas automatizadas antes de integrarse.
• En cada commit se ejecutan análisis de dependencias, análisis estáticos y detección de secretos.
• Los despliegues en producción son auditables y reversibles.
• Los ingenieros reciben formación anual sobre desarrollo seguro y privacidad.

• Las copias de seguridad de las bases de datos se realizan de forma continua y se conservan durante al menos 7 días; las instantáneas diarias se conservan durante 30 días.
• Los procedimientos de recuperación se prueban anualmente con objetivos RTO y RPO documentados.
• La infraestructura crítica se distribuye entre varias regiones o zonas de disponibilidad para garantizar la resiliencia.

Mantenemos un plan documentado de respuesta a incidentes que abarca la detección, contención, erradicación, recuperación y revisión posterior al incidente. Notificamos a los clientes afectados las violaciones confirmadas de la seguridad de los datos personales sin dilación indebida y en un plazo de 72 horas, tal como exige nuestra DPA.

Invitamos a los investigadores de seguridad a comunicar posibles vulnerabilidades a security@citations.io. Sigue las indicaciones de nuestra Política de uso aceptable - no emprenderemos acciones legales contra las investigaciones de buena fe que cumplan esas indicaciones y reconoceremos la contribución de los investigadores (con su permiso) una vez implementada una solución.

Leyes de privacidad

El Servicio está diseñado para facilitar el cumplimiento por parte de los clientes del RGPD del Reino Unido, el RGPD de la UE y la Ley de Privacidad del Consumidor de California (modificada por la CPRA). Consulta nuestra Política de privacidad y DPA.

SOC 2 / ISO 27001

SOC 2 Type II forma parte de nuestra hoja de ruta de cumplimiento. Aunque aún no contamos con la certificación, los controles subyacentes descritos anteriormente ya están implementados. Los clientes con un acuerdo de confidencialidad pueden solicitar nuestro cuestionario de seguridad actual y una descripción general de la arquitectura.

• Elige contraseñas seguras y únicas y activa la autenticación multifactor (MFA) en tu cuenta.
• Gestiona los accesos de tu equipo sin demora cuando alguien se incorpore o se vaya.
• Trata las claves de API y las credenciales de integración como información secreta.
• Informa de cualquier sospecha de acceso no autorizado a tu cuenta a security@citations.io de inmediato.