Seguridad y protección de datos

Proteger la confidencialidad, integridad y disponibilidad de la información que Syntropyc trata por cuenta de sus clientes, incluidas las conversaciones que los clientes finales mantienen con los negocios por WhatsApp, Messenger, Instagram, TikTok y otros canales.

Aplica a socios, colaboradores y contratistas con acceso a los sistemas de Syntropyc; a todos sus productos (SynForce, SynResto y demás), su infraestructura y los encargados listados en el Aviso de Privacidad; y a los datos de cuenta de los negocios, los datos de sus clientes finales (nombre, identificador del canal, foto de perfil pública, mensajes y archivos) y las credenciales de integración.

Responsable de Seguridad y Privacidad. Aprueba esta política, otorga y revisa accesos, coordina la respuesta a incidentes y atiende las solicitudes de titulares y de plataformas.

Desarrolladores. Aplican estas reglas en el código y en los despliegues, y reportan cualquier sospecha de incidente.

Pruebas (QA). Usan solo cuentas y datos de prueba, nunca datos reales de clientes.

Contacto de privacidad y seguridad: hola@syntropyc.tech

• Restringida (mensajes de clientes finales, tokens de canales, llaves de API): solo en sistemas autorizados, cifrada en tránsito y en reposo; nunca en chats, correos ni capturas.

• Interna (código, métricas de uso, documentación técnica): solo personal de Syntropyc.

• Pública (sitio web, avisos legales): sin restricción.

• Accesos: mínimo privilegio, cuentas personales y autenticación de dos factores obligatoria en toda cuenta de administración (ver la Política de Control de Acceso).

• Cifrado: TLS 1.2 o superior en tránsito; AES-256 en reposo a cargo de los proveedores de nube y del almacenamiento del servidor; contraseñas de usuarios solo con hash.

• Secretos: solo en variables de entorno con permisos restringidos, nunca en el repositorio ni en imágenes de contenedores. Una llave expuesta se rota en 24 horas o menos.

• Servidores: firewall con solo los puertos necesarios, SSH únicamente con llave, protección contra fuerza bruta, actualizaciones de seguridad automáticas y paneles de administración fuera de internet.

• Ambientes separados: pruebas y desarrollo con datos de prueba, nunca de producción.

• Desarrollo seguro: todo cambio pasa por revisión antes de llegar a producción; dependencias actualizadas al menos cada trimestre.

• Equipos de trabajo: bloqueo de pantalla a los 15 minutos o menos, disco cifrado, sistema y antivirus actualizados.

• Vulnerabilidades: escaneo al menos cada trimestre y tras cambios grandes; reportes guardados 2 años. Corrección: crítica 7 días, alta 30 días, media 90 días.

• Respaldos: fuera del proveedor principal, con un ensayo de restauración al año.

• Bitácoras: las de acceso se conservan al menos 90 días.

• Encargados: solo los listados en el Aviso de Privacidad; uno nuevo exige actualizar el aviso antes de compartirle datos.

Pedimos a cada plataforma solo los permisos necesarios para contestar mensajes. Cuando un negocio desconecta un canal o termina su relación con nosotros, los datos de ese canal se eliminan conforme al Aviso de Privacidad. Las solicitudes de acceso, rectificación, cancelación u oposición (derechos ARCO) se atienden en hola@syntropyc.tech.

Toda persona con acceso lee estas políticas al ingresar y una vez al año, y lo confirma por escrito. Cualquier incumplimiento puede llevar al retiro inmediato de accesos. Esta política se revisa al menos una vez al año o después de cualquier incidente.

• Necesidad de saber: solo accede a un dato quien lo necesita para su trabajo.

• Mínimo privilegio: cada cuenta tiene los permisos mínimos para su rol.

• Cuentas personales: se prohíben las cuentas y contraseñas compartidas.

• Servidores de producción: solo el Responsable de Seguridad y, para desplegar, el desarrollador del producto, cada uno con su propia llave.

• Base de datos y nube de producción: el Responsable como administrador; los desarrolladores con permisos de desarrollo de su producto.

• Repositorios de código: escritura solo para los desarrolladores del producto; lectura para pruebas.

• Plataformas de mensajería y pagos (Meta, TikTok, pasarelas): administradas por el Responsable; otros accesos solo con su aprobación.

• Panel de un cliente: soporte solo con permiso del cliente; QA únicamente en negocios de prueba.

Cada alta se aprueba por escrito, indicando qué accesos y por qué. Un cambio de rol ajusta los accesos el mismo día. Al terminar una relación se retiran todos los accesos en 24 horas o menos y se rotan las llaves que la persona pudo conocer.

• Autenticación de dos factores obligatoria en repositorios, hosting, base de datos, proveedor del servidor, correo, plataformas de mensajería y pasarelas de pago.

• Contraseñas de al menos 12 caracteres, únicas por servicio y guardadas en un administrador de contraseñas.

• SSH solo con llave personal; acceso por contraseña desactivado.

• Llaves de API y tokens como secretos del entorno, rotados al menos una vez al año y de inmediato si se exponen.

Solo para resolver un problema reportado o una falla detectada, viendo lo mínimo necesario y dejando constancia del motivo.

Las bitácoras de acceso a servidores, paneles de proveedores y cambios administrativos se conservan al menos 90 días. Los accesos se revisan al menos una vez al año y cada vez que alguien entra o sale del equipo, y la revisión queda documentada.

Cualquier evento que comprometa, o pueda comprometer, la confidencialidad, integridad o disponibilidad de los datos o los servicios. Por ejemplo: una llave o token expuesto, un acceso no autorizado, la fuga o alteración de datos de clientes, una caída de producción de más de 30 minutos, el uso no autorizado del canal de un cliente o un aviso de seguridad de un proveedor que nos afecte.

Cualquier persona que note algo sospechoso lo reporta de inmediato al Responsable de Seguridad. Ante la duda, se reporta, y nunca se borra evidencia. Terceros pueden reportar vulnerabilidades o incidentes en hola@syntropyc.tech.

• Crítico (datos de clientes expuestos o acceso no autorizado confirmado): contención en 4 horas o menos.

• Alto (llave expuesta sin evidencia de uso, o producción caída): contención en 24 horas o menos.

• Medio (vulnerabilidad explotable sin evidencia de explotación): corrección en 7 días o menos.

• Bajo (falla de configuración sin riesgo inmediato): corrección en 30 días o menos.

• Registrar: hora, quién lo detectó y qué se observó.

• Contener: rotar llaves, revocar sesiones o tokens, bloquear accesos y pausar el canal o servicio afectado.

• Investigar: con las bitácoras, determinar qué datos, qué clientes y qué periodo se vieron afectados.

• Erradicar y recuperar: corregir la causa, restaurar desde respaldo si hace falta y verificar antes de reabrir.

• Notificar: a los negocios afectados sin demora indebida; a los titulares cuando la ley lo exige (art. 20 de la LFPDPPP); y a Meta o TikTok, conforme a sus términos, cuando estén involucrados datos recibidos de ellas.

• Lecciones aprendidas: en 7 días o menos, un reporte con la causa raíz y las acciones, cada una con responsable y fecha.

Al menos una vez al año se hace un simulacro documentado (por ejemplo, restaurar la base de datos desde el respaldo o rotar una llave filtrada). Los registros de incidentes se conservan al menos 2 años.