Política de Seguridad de la Información y Protección de Datos

1. Principios

1.1 El cliente es dueño de sus sistemas, cuentas, contenedores, propiedades, proyectos y datos, y conserva el control administrativo, incluida la posibilidad de retirar nuestro acceso sin nuestra ayuda.

1.2 Recopilamos, usamos y conservamos solo lo que el propósito aprobado necesita, y solo el tiempo que haga falta.

1.3 No usamos datos de clientes para elaborar perfiles, reidentificar personas, hacer publicidad, desarrollar productos ni entrenar o ajustar modelos de IA sin la aprobación previa y por escrito del cliente.

2. Acceso e identidad

2.1 Mínimo privilegio: pedimos y usamos solo el acceso que la tarea necesita, y lo devolvemos cuando termina.

2.2 Cuentas individuales: cada persona usa su propia cuenta con nombre. Nunca compartimos credenciales, y no tenemos cuentas privilegiadas propias en los sistemas de un cliente cuando este puede emitir cuentas.

2.3 Autenticación fuerte: se exige autenticación multifactor, resistente al phishing cuando el sistema lo permite, para toda cuenta privilegiada y para el acceso desde fuera de la red de confianza de un cliente. Usamos inicio de sesión único y no usamos claves de nube estáticas de larga duración.

2.4 Revisamos los accesos al menos cada trimestre y ante cualquier cambio de función o fin del trabajo, y retiramos de inmediato lo que no se necesita.

2.5 Los secretos, como contraseñas, tokens y claves, se guardan en una bóveda cifrada o gestor de secretos, y nunca en el código, los tickets, el chat ni los documentos.

3. Protección de la información

3.1 Usamos cifrado en tránsito (TLS 1.2 o superior, con HTTP Strict Transport Security en lo que construimos) y en reposo para los datos personales o sensibles.

3.2 No ponemos datos personales en URL, registros ni eventos de analítica salvo que el cliente lo haya aprobado. Usamos datos seudonimizados o sintéticos en desarrollo y pruebas, y no probamos con datos personales reales.

3.3 Almacenamos y procesamos datos de clientes solo en las ubicaciones que el cliente aprueba, y no los enviamos a ninguna plataforma, subcontratista ni tercero que el cliente no haya aprobado.

3.4 Los dispositivos que guardan información de clientes están cifrados, bloqueados, actualizados y protegidos contra código malicioso, y se borran cuando salen de uso.

4. Entrega segura y control de cambios

4.1 Separamos desarrollo, pruebas y producción, y no instalamos herramientas de desarrollo en producción.

4.2 Todo cambio en un sistema del cliente tiene un propósito, los activos afectados, un resultado de prueba, una persona que aprueba y una vía de regreso. Guardamos una versión restaurable antes de cada cambio en producción, y el cliente puede restaurarla y suspender nuestros permisos de publicación sin nosotros.

4.3 El código a medida, los scripts arbitrarios, los scripts externos y los cambios en la recolección de datos o en los ajustes de consentimiento requieren justificación escrita, una segunda revisión y la aprobación del cliente antes de publicarse.

4.4 Aplicamos seguridad por diseño, mantenemos el código bajo control de versiones y aplicamos los parches críticos mediante el proceso de cambios.

4.5 Hacemos pruebas de seguridad antes de un lanzamiento y al menos una vez al año sobre lo que desplegamos para un cliente, y enviamos los resultados y las correcciones al contacto de seguridad del cliente.

5. Registros y monitoreo

5.1 Los cambios en cuentas, permisos, contenedores, etiquetas, scripts, cuentas de servicio y credenciales se registran con quién, cuándo, qué y el estado de publicación. Quien hizo un cambio no puede editar ni borrar su registro.

5.2 El cliente tiene su propio acceso a esos registros. Vigilamos cambios inesperados de privilegios, ajustes multifactor, administradores, scripts y credenciales, y alertamos al contacto de seguridad del cliente.

6. Incidentes

6.1 Avisamos de inmediato al cliente de cualquier incidente real o sospechado que pueda dar acceso a sus sistemas o datos, incluido un compromiso de nuestras propias cuentas, dispositivos, credenciales o herramientas de despliegue, o los de un subcontratista. No esperamos a conocer el alcance completo ni la causa.

6.2 Primero contenemos, conservamos la evidencia, ayudamos con la revocación, la reversión, la recuperación y el análisis de causa raíz, y entregamos al cliente un informe escrito.

6.3 Toda persona que trabaja para MotionInk debe comunicar de inmediato un incidente sospechado, a lucas@motionink.ai o a hello@motionink.ai. Si la preocupación involucra al propietario o a un encargo de un cliente, o la persona lo prefiere, puede acudir directamente a la oficina de seguridad o de ética del propio cliente o, en trabajos con las Naciones Unidas, a la Oficina de Auditoría Interna e Investigaciones de UNICEF, por los canales publicados en unicef.org.

7. Privacidad y ley

7.1 Seguimos las leyes de protección de datos que aplican a cada encargo, incluida la Ley núm. 172-13 de la República Dominicana sobre protección de datos personales y, cuando aplican, el Reglamento General de Protección de Datos y leyes similares. Sus principios nos guían en todas partes: licitud, lealtad, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad.

7.2 Actuamos según las instrucciones del cliente. Firmamos un acuerdo de tratamiento o de intercambio de datos cuando un encargo involucra datos personales, y ayudamos al cliente a responder las solicitudes de las personas afectadas.

7.3 Llevamos un registro de los datos personales que tratamos para cada cliente y de dónde se encuentran.

8. Conservación y eliminación

8.1 Al terminar un encargo devolvemos o eliminamos de forma segura los datos del cliente y retiramos nuestro acceso, salvo que el contrato o la ley exijan conservarlos. Confirmamos por escrito cuando lo hemos hecho.

9. Proveedores y subcontratistas

9.1 Damos acceso a un subcontratista solo después de que acepte esta política por escrito. Seguimos siendo responsables de sus actos, y nuestra obligación de avisar de incidentes lo cubre.

9.2 Elegimos con cuidado a los proveedores de nube y de software y mantenemos una lista de los que tocan datos de clientes.

10. Concienciación, responsabilidad y revisión

10.1 Todas las personas que trabajan para MotionInk leen esta política antes de tocar datos de clientes, y de nuevo después de cada cambio importante.

10.2 El propietario es responsable de esta política, la revisa al menos una vez al año y después de cualquier incidente, y deja constancia de la revisión. No tenemos una certificación de seguridad de la información y no afirmamos tenerla.