La política describe compromisos y principios verificables. No declara certificaciones, auditorías externas o niveles absolutos de seguridad que no estén acreditados.
1.Objetivo
Proteger razonablemente la confidencialidad, integridad, disponibilidad y aislamiento de CASERI y de la información tratada.
2.Arquitectura y aislamiento
CASERI utiliza controles multi-tenant y RLS en las superficies de datos expuestas. Las acciones server- side vuelven a comprobar autenticación, membresía y entitlement cuando corresponde.
3.Autenticación
La autenticación se apoya en Supabase y Google. CASERI puede requerir MFA para operaciones sensibles y mantener actividad de sesión para seguridad.
4.Secretos y credenciales
Claves administrativas, secretos OAuth, tokens de proveedores y claves de cifrado permanecen server- side y no deben exponerse en el navegador, repositorio, documentación pública o logs.
5.Google Drive
Los tokens de Drive se protegen y cifran antes de persistirlos. La clave de cifrado debe gestionarse separadamente y formar parte de la estrategia de recuperación.
6.Pagos
CASERI no captura datos de tarjetas. Los medios Yape/Plin de los negocios se almacenan únicamente con la información necesaria para mostrarlos cuando el Cliente los configura.
7.Controles de dominio
Los dominios se normalizan, validan y administran server-side. CASERI no solicita credenciales del registrador del Cliente y evita verificar ownership mediante requests arbitrarios a hostnames controlados por el usuario.
8.WhatsApp Beta
Las credenciales y claves de sesión de la Beta deben almacenarse cifradas y con acceso restringido. Logs sensibles deben minimizarse y la desconexión/logout deben distinguirse para evitar pérdida accidental de autenticación.
9.Desarrollo y dependencias
CASERI aplica revisiones, tests, lint, typecheck, migraciones versionadas y validaciones antes de Production. Las dependencias deben mantenerse controladas y los cambios sensibles desplegarse con gates apropiados.
10.Disponibilidad y recuperación
Los despliegues de aplicación pueden revertirse, pero una migración de base no se revierte automáticamente. Los cambios de datos requieren compatibilidad y planes de recuperación razonables. Las copias/retenciones y secretos necesarios para recuperar integraciones deben gestionarse de forma coherente.
11.Incidentes
CASERI investigará incidentes relevantes, limitará accesos cuando resulte necesario, preservará evidencia razonable y realizará notificaciones cuando exista obligación legal.
12.Responsabilidad del Usuario
El Usuario debe proteger su cuenta, utilizar MFA cuando se le solicite, revisar accesos, evitar compartir credenciales y reportar actividad sospechosa.
13.Reporte de vulnerabilidades
Los reportes deben enviarse por los canales oficiales de seguridad publicados por Quandtec. No se autoriza realizar pruebas destructivas o acceder a datos de terceros para demostrar una vulnerabilidad.
14.No garantía absoluta
Ningún sistema puede eliminar totalmente los riesgos. Esta Política describe controles razonables y no constituye una garantía de invulnerabilidad.