Seguridad y tus datos
Escrito para los equipos de seguridad y protección de datos que tienen que dar el visto bueno a un proveedor nuevo. Todo lo que dice esta página describe cómo funciona hoy la plataforma.
Dónde vive
La plataforma funciona en un servidor que pones tú, y tus datos se quedan en él. De ahí solo salen los avisos de alerta por los canales que actives y el acceso de soporte que se explica más abajo. Tú eres el responsable del tratamiento; nosotros solo somos encargados cuando accedemos para dar soporte, con un contrato de encargo (art. 28 del RGPD).
Alojada en la Unión Europea. Somos encargados del tratamiento, siempre con un contrato de encargo (art. 28 del RGPD).
Cómo está construida
Cada función pasa por una API autenticada, la misma que usa la interfaz. El acceso directo a la base de datos se limita a diagnósticos de solo lectura del equipo de soporte.
Cada rol ve y hace lo que necesita, y nada más. El acceso con segundo factor está disponible.
Cada instalación tiene sus propias claves y contraseñas, generadas en su propio servidor y nunca heredadas de otro sitio. Las credenciales de los equipos se guardan cifradas.
Cada cambio planificado lleva quién lo autorizó, y después se contrasta con lo que muestran de verdad los equipos.
Datos personales
La analítica está hecha para responder preguntas sobre un espacio o un servicio, no sobre una persona. La analítica de wifi de visitantes, por ejemplo, no guarda ninguna dirección de dispositivo, y ni los paneles ni las métricas llevan un identificador.
Los registros clínicos, como el historial de tratamientos de una clínica, son una categoría especial de datos personales (art. 9 del RGPD) y se tratan con sus propias reglas de conservación y acceso.
La IA y tus datos
Nada en la plataforma llama a un servicio de IA externo. El equipo de soporte sí trabaja con asistentes de IA: cuando investiga una incidencia en tu instalación, lo hace con acceso de solo lectura, dentro del contrato de encargo y con el proveedor de IA declarado como subencargado. Si tu política no lo permite, dilo, y el soporte de tu instalación se hace sin ellos.
Alineados, sin certificar
Los controles están alineados con ISO 27001 y NIST CSF. No estamos certificados, y lo decimos. Hay un cuestionario de seguridad disponible bajo petición en hello@airfexlabs.com. Para avisar de una vulnerabilidad, mira cómo hacerlo.
Divulgación de vulnerabilidades
Escribe a security@airfexlabs.com indicando el producto y la versión, cómo reproducirla y qué impacto tiene.
Las plataformas de AirFexLABS en sus versiones con soporte, las instalaciones que alojamos en la UE y airfexlabs.com. Los sistemas de nuestros clientes y socios quedan fuera: para probar la instalación de un cliente hace falta su permiso por escrito. Ni denegación de servicio, ni ingeniería social, ni pruebas físicas.
Acusamos recibo en 3 días hábiles, damos una primera valoración en 10 y te ponemos al día al menos cada 14 días.
Lo crítico en 30 días, lo alto en 60 y el resto en 90.
90 días por defecto, ampliables de común acuerdo. Si una vulnerabilidad se está explotando, la comunicamos a las autoridades como exige la ley, sin esperar.
Un aviso público y un CVE cuando la corrección esté publicada, con tu nombre si lo quieres. No pagamos recompensas.
No emprenderemos acciones contra quien investigue de buena fe dentro de esta política. No podemos autorizar el acceso a sistemas que no son nuestros, y esta política no está por encima de la ley.