Lo que ponemos en contrato, y los sellos que no tenemos.
Esta página responde el cuestionario antes de que usted lo mande. Son dos sistemas con respuestas distintas: el sitio público está corriendo, la plataforma de producto no. Donde un campo es decisión de otra persona, o una medición que nadie aquí hizo, queda vacío y nombrado en vez de llenado con una suposición.
Esta página no está terminada. Cada corchete de abajo marca un campo que es decisión de otra persona, o una medición que nadie aquí hizo todavía. Queda fuera del índice de búsqueda hasta cerrar el último, porque una suposición que parece dato es peor que un hueco declarado.
¿El código de su cliente sale de nuestra infraestructura?
Es la primera pregunta de un cuestionario de seguridad, y la que decide el negocio. La respuesta honesta hoy es que nadie aquí lo midió de punta a punta, así que no está respondida en esta página.
Sin respuesta. No es "no" — es sin respuesta.
Dos sistemas, dos respuestas distintas
El sitio público está corriendo. La plataforma de producto no. Mezclar los dos es como una página de confianza deja de ser verdadera.
El sitio público
Corre en Vercel con la base en Supabase. Almacena el correo de quien se suscribe al boletín y los propios artículos del boletín. Región de hospedaje: [CONFIRMAR: região de hospedagem do site e do banco]
La plataforma de producto
No está en el aire. La infraestructura está siendo reconstruida, así que no existe ambiente de cliente hoy ni dato de cliente adentro. Lo que va a almacenar: [CONFIRMAR: o que a plataforma armazena do ambiente do cliente — código-fonte, achados, credenciais, artefatos]
Cifrado
HTTPS en todo el sitio, sin endpoint en texto claro. En reposo: [CONFIRMAR: provedor, algoritmo e quem detém a chave]
Retención
[CONFIRMAR: prazo de retenção por tipo de dado, e o que acontece com ele no fim do contrato]
Acceso
[CONFIRMAR: quem alcança dado de cliente, sob qual controle, e se o acesso é registrado]
Quién más toca el dato
Esta es la lista del sitio público. La lista de la plataforma de producto no está completa, y una lista incompleta es peor que ninguna.
| Proveedor | Qué procesa | Región |
|---|---|---|
| Vercel | Hospedaje y entrega del sitio público, más registro de solicitudes | [CONFIRMAR] |
| Supabase | Base del sitio: artículos del boletín y correo de suscriptor | [CONFIRMAR] |
| Anthropic | Redacta los borradores del boletín a partir de fuentes públicas. No recibe dato de cliente | [CONFIRMAR] |
| Resend | Envío de correo transaccional y del boletín; correo de suscriptor | [CONFIRMAR] |
[CONFIRMAR: lista completa de subprocessadores da plataforma de produto]
El sello que no tenemos, cambiado por cláusulas que usted ejecuta
Un certificado es una forma de comprar garantía. Una obligación contractual con número y multa detrás es otra, y es la que está disponible hoy.
Derecho de auditoría
Usted, o un auditor que usted contrate, audita nuestro ambiente y nuestros controles. [CONFIRMAR: escopo, frequência e prazo de aviso da auditoria]
Notificación de incidente en un plazo comprometido
El número va en el contrato con multa detrás. [CONFIRMAR: prazo de notificação de incidente, e a multa]
Salida sin multa
Rescisión por conveniencia, sin tarifa de salida y sin cobro por el plazo restante. [CONFIRMAR: prazo de aviso prévio]
Portabilidad del dato
Hallazgos, informes e historial en formato abierto, durante el contrato y no solo al final. [CONFIRMAR: formato e prazo de entrega]
Dicho de una vez, porque usted iba a preguntar igual
Dos frases que no va a encontrar en esta página: "en proceso de certificación" y "alineado con ISO 27001". La primera es falsa sin un proceso abierto. La segunda es lo que todo CISO lee como "no lo tenemos".
Sin ISO/IEC 27001 a nombre propio
Y sin proceso de certificación abierto. Si hubiera uno, existiría un Stage 1 y diríamos su fecha.
Sin SOC 2, ni Tipo I ni Tipo II
No existe informe de auditor independiente para adjuntar a su cuestionario.
Sin SLA y sin número de disponibilidad
La plataforma no está en el aire. Un número de uptime sería un número sobre nada.
Sin afirmación de residencia de dato en Brasil
Nadie aquí midió la región. El campo de arriba está vacío por eso.
Mándenos su cuestionario de seguridad y lo respondemos, incluidos los blancos.
Las respuestas que todavía no están en esta página se responden como no medidas, no como conformes.