Nuestro enfoque

Certia diseña y opera tecnología para instituciones que manejan información delicada, y aplica a su propio sitio y a sus herramientas internas las prácticas que describimos aquí. Esta página describe prácticas de trabajo y no declara certificaciones. Ningún control elimina todo riesgo, por eso también explicamos cómo respondemos a incidentes y cómo puedes reportarnos una vulnerabilidad.

Cifrado

Toda conexión con certiaholding.com usa HTTPS con TLS. Los datos se guardan cifrados en reposo en la infraestructura de nuestros proveedores de alojamiento y de base de datos.

Accesos mínimos

Cada persona del equipo accede solo a lo que necesita para su función. El panel interno exige autenticación y mantiene la sesión con cookies httpOnly, que el código de la página no puede leer. Retiramos los accesos cuando alguien cambia de rol o deja de trabajar con nosotros.

Seguridad en la base de datos

La base de datos aplica seguridad a nivel de fila (row level security): cada consulta se evalúa según el rol de quien la hace, y el público no puede leer contactos, suscriptores ni solicitudes. Las claves con privilegios elevados se usan solo en el servidor y nunca llegan al navegador.

Registro de auditoría

Las acciones administrativas relevantes, como los cambios de configuración o el manejo de solicitudes de derechos, quedan registradas con fecha y responsable. Así podemos reconstruir qué pasó y quién lo hizo.

Separación de entornos

Desarrollo, pruebas y producción funcionan por separado y con credenciales distintas. No copiamos datos reales de producción a los entornos de prueba.

Desarrollo seguro

Revisamos el código antes de publicarlo, validamos las entradas de los formularios y mantenemos los secretos fuera del repositorio. También revisamos las dependencias en busca de vulnerabilidades conocidas. El sitio aplica cabeceras de seguridad y una política de seguridad de contenido.

Pruebas ofensivas propias

Sometemos nuestras propias superficies, como el sitio, los formularios y las interfaces de programación, a escaneos dinámicos y pruebas de seguridad ofensivas, con el mismo criterio que usamos en los servicios de ciberseguridad ofensiva para clientes. Corregimos los hallazgos según su gravedad.

Respuesta a incidentes

Tenemos un procedimiento para detectar, contener y analizar incidentes, y para corregir su causa. Si un incidente afecta datos personales, seguimos los pasos de notificación que describe la página de Protección de datos personales.

Revisión de proveedores

Antes de incorporar un proveedor revisamos cómo protege la información, dónde la trata y qué compromisos contractuales asume. Preferimos proveedores que permiten desactivar la retención y el entrenamiento con datos, como hacemos con los modelos de IA del asistente del sitio.

Confidencialidad

Las personas del equipo y los proveedores con acceso a información de clientes firman acuerdos de confidencialidad.

Revisión humana de la IA

Los resultados de un modelo de IA pueden contener errores. En los servicios que operamos, una persona revisa las salidas que influyen en decisiones sobre clientes o en comunicaciones sensibles antes de que tengan efecto.

Cómo reportar una vulnerabilidad

Si encuentras una posible vulnerabilidad en certiaholding.com o en otro servicio de Certia, escríbenos a certia@fidelity-ec.com con el asunto "Seguridad". Incluye una descripción del problema, los pasos para reproducirlo, la dirección o el componente afectado y el impacto que observaste.

Mientras lo revisamos, te pedimos:

No acceder, modificar ni borrar datos de otras personas. Si te encuentras con ellos, detente y avísanos.
No degradar el servicio ni hacer pruebas de denegación de servicio.
No usar ingeniería social contra nuestro equipo ni contra nuestros clientes.
No divulgar el hallazgo hasta que lo hayamos corregido o hayamos acordado contigo una fecha.

Confirmamos que recibimos tu reporte y te avisamos cuando el problema esté corregido. Las pruebas activas sobre nuestros sistemas requieren autorización previa por escrito, como indican los Términos de uso.