Política de seguretat de la informació

Aquesta Política de Seguretat de la Informació descriu les certificacions que Didit posseeix, els controls tècnics i organitzatius que Didit opera i els artefactes de confiança disponibles per a clients, clients potencials, reguladors i auditors. Es revisa almenys cada sis mesos.

• Contacte de seguretat: security@didit.me
• Delegat de Protecció de Dades: dpo@didit.me
• Pàgina d'estat (temps real): status.didit.me
• Paquet de confiança (sota NDA): envia un correu electrònic a security@didit.me

1. Certificacions i atestacions

Per sol·licitar qualsevol dels informes o certificats subjacents, envia un correu electrònic a security@didit.me. Els informes restringits segons els termes del seu emissor (per exemple, SOC 2 Tipus 1) es comparteixen després de signar un Acord de Confidencialitat (NDA), el mateix dia hàbil.

2. Abast

Aquesta política cobreix tot el personal de Didit (empleats, contractistes i tercers autoritzats), tots els sistemes d'informació de producció i corporatius de Didit, i els Serveis orientats al client descrits en els Termes i Condicions Comercials. Està recolzada per la Declaració d'Aplicabilitat que fonamenta el sistema de gestió ISO/IEC 27001:2022 de Didit.

3. Governança

• Sistema de Gestió de la Seguretat de la Informació i la Privacitat alineat amb els controls ISO/IEC 27001:2022 i ISO/IEC 27701, amb una Declaració d'Aplicabilitat documentada.
• El Director de Tecnologia és el patrocinador executiu de seguretat de la informació; el Delegat de Protecció de Dades (dpo@didit.me) és el responsable de la governança del programa de privacitat.
• Auditoria de seguretat externa anual per auditors independents (supervisió ISO 27001 i exàmens SOC 2).
• Registre de riscos revisat i actualitzat trimestralment. Els riscos materials s'escalen al comitè de direcció.
• Millora contínua, cada incident, troballa d'auditoria i avaluació de riscos alimenta la cartera d'accions correctores i la següent actualització de la política.

4. Xifratge i gestió de claus

• En repòs: AES-256 en totes les bases de dades de producció, emmagatzematge d'objectes i volums de còpia de seguretat.
• En trànsit: TLS 1.3 per a cada trucada API externa, webhook i sessió de la Consola de Negoci. Les versions antigues de TLS i els xifratges febles estan deshabilitats. HTTP Strict Transport Security (HSTS) s'aplica a tot el lloc i es precàrrega.
• Gestió de claus: AWS Key Management Service (KMS) guarda i rota les claus. El codi de l'aplicació mai toca el material de clau en brut. Les claus de sandbox i producció estan totalment separades.
• Hashing: les credencials del client es xifren amb funcions adaptatives estàndard de la indústria (bcrypt o equivalent). Les claus API s'emmagatzemen com a hashes unidireccionals; el valor en brut es mostra a l'operador només en el moment de la creació.

5. Identitat, accés i arquitectura de confiança zero

• Confiança zero per defecte, cada sol·licitud a cada sistema intern s'autentica i s'autoritza. No hi ha confiança implícita basada en la ubicació de la xarxa.
• Control d'accés basat en rols (RBAC) amb el principi de mínim privilegi. Les revisions d'accés es realitzen trimestralment.
• Autenticació multifactor (MFA) és obligatòria per a cada empleat, cada sistema de producció, cada consola al núvol i cada compte d'allotjament de codi.
• Inici de sessió únic (SSO) per a aplicacions internes, amb MFA de token de maquinari per a rols privilegiats.
• Accés Just-in-Time per a producció: l'accés privilegiat permanent és l'excepció, no la regla.
• Registre d'auditoria, cada acció privilegiada es registra en un pipeline d'auditoria a prova de manipulacions i d'escriptura única, retingut durant almenys 12 mesos.

6. Residència i segregació de dades

• Unió Europea per defecte. Les dades de producció es processen i s'emmagatzemen a la Unió Europea a Amazon Web Services. La residència específica per regió o per país està disponible en contractes Enterprise, subjecte a disponibilitat, per a jurisdiccions els reguladors de les quals ho requereixin.
• Separació d'entorns. Sandbox, staging i producció estan aïllats a nivell de xarxa, identitat i gestió de claus. Cap humà o servei en un entorn pot llegir dades en un altre sense un camí d'accés explícit i auditat.
• Separació de tenants. Les dades multi-tenant estan lògicament separades amb claus de xifratge per tenant quan sigui aplicable. Les consultes entre tenants estan bloquejades a nivell d'aplicació i base de dades.

7. Cicle de vida de desenvolupament segur (SDLC)

• La revisió de codi és obligatòria per a cada canvi de producció. Cap enginyer pot fusionar codi no revisat a producció.
• Static Application Security Testing (SAST), escaneig de dependències i Software Composition Analysis (SCA) s'executen automàticament en cada pull request.
• Escaneig de contenidors i infraestructura en cada compilació i en un calendari recurrent per a imatges desplegades.
• Proves de seguretat pre-producció per a canvis d'alt impacte (autenticació, gestió de claus, pipelines biomètriques, fluxos de pagament).
• Proves de penetració internes contínuament; proves de penetració externes almenys una vegada a l'any per especialistes independents. Les troballes materials es segueixen fins al tancament en un calendari vinculat a l'SLA.
• Canal de recompenses per errors / divulgació responsable, informa de problemes de seguretat a security@didit.me.

8. Gestió de vulnerabilitats

• SLA de pegats per gravetat, crític (en 72 hores des de la divulgació del proveïdor), alt (en 7 dies), mitjà (en 30 dies), baix (en 90 dies).
• Escaneig continu de vulnerabilitats a tota la infraestructura de producció, contenidors i dependències.
• Modelització d'amenaces per a noves superfícies de producte, pipelines biomètriques i integracions entre entorns.

9. Monitorització, detecció i resposta a incidents

• Monitorització 24x7 de cada sistema de producció amb alertes sobre disponibilitat, errors i senyals de seguretat.
• Security Information and Event Management (SIEM) agrega i correlaciona esdeveniments de seguretat; els patrons anormals s'escalen als enginyers de seguretat de guàrdia.
• Pla de Resposta a Incidents documentat amb rols designats, arbre de comunicació, matriu de gravetat i procés de revisió post-incident. El pla es prova almenys anualment mitjançant exercicis de taula.
• Notificació de violació de dades personals. Didit notifica als clients afectats sense dilació indeguda i en qualsevol cas a temps per permetre als clients complir la seva pròpia obligació de notificació de 72 hores segons l'article 33 del Reglament General de Protecció de Dades (RGPD). Els clients Enterprise reben un enginyer de guàrdia designat i un canal de comunicació dedicat.
• Pàgina d'estat pública a status.didit.me, cada incident de producció, cada anàlisi post-mortem, sense necessitat d'iniciar sessió.

10. Continuïtat del negoci i recuperació de desastres

• Redundància activa multi-AZ a cada regió de producció; commutació automàtica per a serveis sense estat.
• Les còpies de seguretat estan xifrades, separades geogràficament dins del límit de residència escollit i provades en un calendari recurrent.
• Objectiu de Punt de Recuperació (RPO) ≤ 1 hora i Objectiu de Temps de Recuperació (RTO) ≤ 4 hores per a l'API de verificació principal i la Consola de Negoci.
• Proves de Recuperació de Desastres (DR) almenys anualment.

11. Seguretat del personal

• Verificacions d'antecedents de cada empleat i cada contractista amb accés a dades de producció o dades personals, quan ho permeti la legislació aplicable.
• Acords de confidencialitat en la contractació per a cada empleat i contractista.
• Formació obligatòria en seguretat i privacitat en la incorporació i actualitzada almenys anualment per a cada empleat. Formació específica (codificació segura, gestió de dades biomètriques, antifrau, antiblanqueig de capitals) per als rols que ho necessiten.
• Simulacions de phishing en un calendari recurrent.
• El procés d'incorporació / canvi de rol / cessament revoca l'accés en un termini de 24 hores des del canvi de rol o la sortida.

12. Gestió de proveïdors i subencarregats

• Cada subencarregat és avaluat en risc abans de la incorporació i revisat almenys anualment.
• Cada subencarregat signa un Acord de Tractament de Dades (DPA) que imposa obligacions de protecció de dades substancialment similars a les que Didit deu als seus propis clients.
• La llista actual de subencarregats es comparteix amb clients i clients potencials per correu electrònic després de signar un Acord de Confidencialitat (NDA). Envia un correu electrònic a security@didit.me per sol·licitar-la. Els clients subscrits a les notificacions de canvi de subencarregats reben una notificació per correu electrònic amb suficient antelació per oposar-se.

13. Drets dels interessats i eliminació de dades

• Dret d'accés i portabilitat, `GET /v3/sessions/:session_id/decision/`.
• Dret de supressió, `POST /v3/sessions/:session_id/delete/`. Elimina la sessió i tots els artefactes vinculats a totes les rèpliques.
• La retenció per aplicació és configurable a la Consola de Negoci entre 30 dies i 10 anys; el valor per defecte és indefinit tret que el client configuri un període més curt. La retenció de dades biomètriques està en tots els casos subjecta i limitada per les lleis i regulacions de privacitat biomètrica aplicables, incloent l'article 9 del Reglament General de Protecció de Dades (RGPD) de la UE, la Llei de Privacitat de la Informació Biomètrica d'Illinois (BIPA), la Llei de Captura o Ús d'Identificadors Biomètrics de Texas (CUBI), la Llei H.B. 1493 de Washington i qualsevol altra llei de privacitat biomètrica aplicable; quan aquesta llei prescrigui un període de retenció més curt o una obligació de destrucció anterior, aquesta regla més curta o estricta preval sobre qualsevol període de retenció per defecte o configurat pel client.
• Consulta la Política de Privacitat i l'Avís de Privacitat de Verificació per al procés complet dels drets dels interessats.

14. Notificació d'un problema de seguretat

Si creus que has trobat una vulnerabilitat de seguretat en qualsevol producte o servei de Didit, envia un correu electrònic a security@didit.me amb una descripció, els passos per reproduir-la i l'impacte que has observat. Didit reconeix els informes de seguretat en un termini de 2 dies hàbils i treballa de bona fe amb els informadors que segueixen pràctiques de divulgació responsable.

15. Contacte

• Seguretat: security@didit.me
• Delegat de Protecció de Dades: dpo@didit.me
• Privacitat: privacy@didit.me
• Legal / contractes: legal@didit.me
• Sol·licitud de paquet de confiança (sota NDA): security@didit.me