1. Nuestro compromiso
La seguridad es central en cómo construimos y operamos Tedice. Esta página describe, en términos prácticos, las medidas técnicas y organizativas que aplicamos para proteger tus datos, tu cuenta y nuestra infraestructura. El detalle puede variar según el servicio contratado.
2. Cifrado de datos
Todos los datos viajan cifrados en tránsito y se almacenan cifrados en reposo:
- En tránsito: TLS 1.3 entre tu dispositivo y nuestros servidores. Soporte de TLS 1.2 como fallback compatible.
- En reposo: AES-256 sobre los volúmenes de datos y los buckets de archivos del producto Cloud.
- Backups: Cifrados con claves administradas (KMS) y rotadas periódicamente.
3. Control de acceso
Aplicamos el principio de mínimo privilegio sobre los sistemas internos:
- Acceso a sistemas de producción restringido a un grupo reducido del equipo, autenticado con MFA por hardware token.
- Registros (audit logs) inmutables de cada acceso administrativo a datos de clientes, retenidos durante 12 meses como mínimo.
- Las contraseñas de cuentas se almacenan hasheadas (bcrypt con cost factor moderno).
- Los empleados firman un acuerdo de confidencialidad como parte del onboarding.
4. Infraestructura
La plataforma corre sobre proveedores cloud de nivel empresarial con cumplimiento ISO 27001 / SOC 2. Las regiones principales son:
- US-East (Virginia) — región primaria.
- EU-West (Dublín) — replicación para usuarios de la UE.
- AP-Southeast (Singapur) — accesos desde Asia-Pacífico cuando aplica.
Los firewalls perimetrales filtran tráfico anómalo y los workloads están segmentados por VPC y subred. Las cargas públicas pasan por un proveedor WAF/CDN con protección DDoS.
5. Backups y continuidad
Hacemos backups automáticos de bases de datos y volúmenes críticos:
- Snapshots diarios, retención de 30 días.
- Backups semanales replicados a una región distinta, retención de 90 días.
- Pruebas de restauración trimestrales para verificar la integridad.
El RPO objetivo es ≤ 24 horas y el RTO ≤ 4 horas para los servicios principales.
6. Divulgación de vulnerabilidades
Si encontrás una vulnerabilidad de seguridad en cualquier servicio de Tedice, escribinos a security@tedice.com. Pedimos:
- Descripción clara del problema, pasos de reproducción y, si es posible, prueba de concepto.
- Que no accedas a datos de otros usuarios más allá de lo estrictamente necesario para demostrar el bug.
- Que nos des 90 días para corregir antes de divulgar públicamente.
Reconocemos a los investigadores responsables en una página de agradecimientos cuando corresponde y, según el caso, ofrecemos compensación discrecional. No tenemos un programa de bug bounty público todavía.
7. Gestión de incidentes
Si se detecta un incidente que pueda afectar la integridad o confidencialidad de los datos de clientes, activamos el protocolo de respuesta:
- Contención inmediata del vector y aislamiento del componente afectado.
- Investigación forense para determinar el alcance y el origen.
- Notificación a los clientes afectados dentro de los plazos legales aplicables (72hs para GDPR; antes si corresponde por contrato).
- Postmortem público (resumido) con la causa raíz, las acciones tomadas y las medidas para evitar recurrencias.
8. Auditorías y certificaciones
Trabajamos para obtener certificaciones reconocidas. El roadmap actual incluye:
- SOC 2 Type II — en preparación para auditoría externa.
- ISO 27001 — evaluación de gap para implementar el SGSI durante el próximo ciclo.
- Pruebas de penetración anuales realizadas por una firma externa especializada.
Los reportes pueden compartirse bajo NDA con clientes empresariales calificados.
9. Reportar un problema de seguridad
Canal principal: security@tedice.com. Para casos urgentes podés también escribir a soporte indicando "Asunto: SEGURIDAD". Te confirmamos recepción dentro de las 24 horas hábiles y mantenemos comunicación durante todo el proceso de remediación.
10. Cambios a esta página
Actualizamos este documento cuando incorporamos nuevas medidas técnicas, ampliamos regiones o cambiamos proveedores críticos. La versión vigente es siempre la publicada en este sitio.