Política de Seguridad de la Información

Última actualización: 10 de febrero de 2026

1. Introducción

Esta Política de Seguridad de la Información describe las medidas, controles y prácticas que Progresus S.A.S. (en adelante, "Progresus" o "nosotros") implementa para proteger la información de los clientes y usuarios de CheckOP (en adelante, "el Servicio").

La seguridad es una prioridad fundamental para Progresus. Hemos invertido en recursos y controles diseñados para proteger los datos de nuestros clientes y proporcionar un servicio confiable y seguro.

2. Objetivos de Seguridad

El programa de seguridad de CheckOP se fundamenta en los siguientes objetivos:

2.1 Confianza y Protección del Cliente

Ofrecer productos y servicios superiores mientras protegemos la privacidad y confidencialidad de la información de nuestros clientes.

2.2 Disponibilidad y Continuidad del Servicio

Garantizar la disponibilidad ininterrumpida del Servicio y los datos de todos los usuarios autorizados, reduciendo proactivamente los riesgos que amenazan la continuidad del servicio.

2.3 Integridad de la Información

Garantizar que la información del cliente nunca se corrompa ni altere de manera inapropiada, manteniendo la exactitud y completitud de los datos.

2.4 Cumplimiento de Estándares

Implementar procesos y controles alineados con estándares internacionales y buenas prácticas de la industria para la seguridad en la nube.

3. Marco de Seguridad

3.1 Estándares de Referencia

CheckOP ha desarrollado su marco de seguridad basándose en buenas prácticas de la industria SaaS, incluyendo:

• Recomendaciones de OWASP (Open Web Application Security Project)
• Estándares de seguridad en la nube
• Principios de ISO 27001 como referencia
• Mejores prácticas de protección de datos

3.2 Certificaciones de Infraestructura

Nuestros proveedores de infraestructura en la nube (Amazon Web Services y Google Cloud Platform) cuentan con las siguientes certificaciones:

• SOC 2 Tipo II
• ISO 27001
• Certificaciones adicionales de cumplimiento y seguridad

Estas certificaciones garantizan altos estándares de seguridad física, ambiental y de infraestructura en los centros de datos donde opera CheckOP.

4. Seguridad del Centro de Datos

4.1 Proveedores de Infraestructura

CheckOP utiliza proveedores de infraestructura en la nube de primer nivel:

• Amazon Web Services (AWS): Instancias ubicadas en Estados Unidos (región us-east-1)
• Google Cloud Platform (GCP): Instancias ubicadas en Estados Unidos

Progresus no aloja los sistemas de sus productos en sus propias oficinas corporativas.

4.2 Seguridad Física

Los centros de datos de nuestros proveedores implementan:

• Acceso físico restringido mediante múltiples capas de seguridad
• Sistemas de vigilancia y monitoreo 24/7
• Control de acceso biométrico y con tarjeta
• Protección contra intrusiones físicas y electrónicas

4.3 Infraestructura y Redundancia

• Redundancia mínima de N+1 en servicios de energía, redes y climatización
• Sistemas de alimentación ininterrumpida (UPS)
• Generadores de respaldo
• Sistemas de enfriamiento redundantes
• Conectividad de red múltiple y redundante

5. Seguridad de Red

5.1 Protección del Perímetro

La infraestructura de CheckOP implementa:

• Firewalls: Listas de control de acceso a nivel de red mediante grupos de seguridad de Virtual Private Cloud (VPC)
• Segmentación: Separación de redes mediante VPCs para aislar entornos
• Enrutamiento Seguro: Control de tráfico a nivel empresarial
• Rechazo por Defecto: Todo el tráfico no autorizado se rechaza automáticamente

5.2 Control de Acceso a Red

• Control detallado del tráfico procedente de redes públicas
• Control del tráfico entre instancias internas
• Registro completo del tráfico de red para fines de monitoreo
• Protección a nivel de puertos y direcciones IP

5.3 Protección DDoS

CheckOP incorpora medidas de seguridad contra ataques de denegación de servicio distribuido (DDoS), diseñadas para garantizar la disponibilidad continua del Servicio.

6. Protección de Datos

6.1 Cifrado en Tránsito

Todas las comunicaciones con CheckOP se protegen mediante:

• TLS (Transport Layer Security) versiones 1.0, 1.1, 1.2 o 1.3
• Claves de cifrado de 2048 bits o superiores
• Certificados SSL/TLS actualizados regularmente

El cifrado en tránsito se aplica a:

• Sesiones de usuario autenticadas
• Llamadas de API
• Inicio de sesión y autenticación
• Transferencia de datos entre componentes del sistema

6.2 Cifrado en Reposo

Los datos almacenados se protegen mediante:

• Cifrado AES-256 para discos duros físicos y virtualizados
• Cifrado de almacenamiento a largo plazo (AWS S3)
• Cifrado a nivel de campo o base de datos para información especialmente sensible
• Gestión segura de claves mediante sistemas KMS (Key Management System)

6.3 Gestión de Claves

• Las claves de cifrado se almacenan en sistemas de gestión de claves reforzados
• Rotación periódica de claves según el tipo y nivel de confidencialidad
• Los certificados TLS se renuevan regularmente
• Acceso a claves restringido según el principio de mínimo privilegio

7. Control de Acceso

7.1 Autenticación de Usuarios

Para Clientes y Usuarios Finales:

• Credenciales únicas (identificador y contraseña) para cada usuario
• Requisitos de complejidad de contraseña
• Prohibición de compartir credenciales de acceso
• Opción de autenticación multifactor cuando está disponible

Para Empleados de Progresus:

• Política de contraseñas corporativas según estándares de la industria
• Cambio de contraseñas al menos cada 90 días
• Longitud mínima de 8 caracteres con requisitos de complejidad
• Autenticación multifactor para acceso a sistemas críticos
• Claves SSH únicas para autenticación a nivel de servidor

7.2 Control de Acceso Basado en Funciones (RBAC)

• Los empleados de Progresus obtienen acceso según su función laboral
• Acceso limitado estrictamente a las necesidades del trabajo
• Revisión automatizada diaria del acceso
• Recertificación manual semianual de autorizaciones

7.3 Acceso a Datos del Cliente

• Grupo reducido de empleados con acceso autorizado a datos de producción
• Acceso limitado a funciones de asistencia técnica y resolución de problemas
• Solicitudes de acceso con duración limitada
• Registro de todo acceso a datos del cliente

8. Seguridad de la Aplicación

8.1 Protección contra Amenazas Web

CheckOP implementa protección automática de contenido siguiendo:

• Las 10 recomendaciones principales de OWASP
• Detección y bloqueo de tráfico malicioso
• Protección contra inyección SQL, XSS y otras vulnerabilidades comunes
• Validación de entrada de datos

8.2 Desarrollo Seguro

El proceso de desarrollo de CheckOP incluye:

• Revisión de código por equipos especializados
• Controles de calidad en cada etapa del desarrollo
• Control de aprobación por propietarios de repositorios designados
• Integración continua con pruebas automatizadas
• Reversión automática ante detección de errores

8.3 Gestión de Vulnerabilidades

• Análisis de vulnerabilidad continuo contra redes internas, aplicaciones e infraestructura
• Análisis diario de vulnerabilidades basados en red y a nivel de aplicación
• Análisis de código estático para detectar errores de seguridad
• Pruebas de penetración periódicas en capas de aplicación y red
• Actualización continua de firmas de ataques

9. Monitoreo y Registro

9.1 Registros de Actividad

CheckOP mantiene registros de:

• Actividad de usuarios y administradores
• Accesos al sistema
• Modificaciones de datos y configuraciones
• Eventos de seguridad
• Tráfico de red

9.2 Monitoreo de Seguridad

• Monitoreo continuo de eventos de seguridad
• Alertas automatizadas ante anomalías
• Revisión de registros por personal de seguridad
• Correlación de eventos para detección de amenazas

9.3 Trazabilidad

El módulo de Historial de CheckOP permite a los clientes visualizar, filtrar y descargar registros de todas las acciones realizadas en el sistema, proporcionando trazabilidad completa de las actividades.

10. Seguridad del Personal

10.1 Verificación de Antecedentes

Todos los empleados de Progresus se someten a verificación de antecedentes por parte de terceros antes de recibir una oferta de empleo formal, cuando las leyes locales lo permiten. La verificación incluye:

• Verificación de empleo anterior
• Verificación de educación
• Revisión de antecedentes penales

10.2 Acuerdos de Confidencialidad

Todos los empleados deben cumplir con:

• Acuerdos de confidencialidad
• Política de uso aceptable
• Compromisos de protección de información

10.3 Capacitación en Seguridad

Progresus mantiene una Política de Seguridad de la Información escrita y capacita a sus empleados en:

• Requisitos de tratamiento de datos
• Consideraciones de privacidad
• Respuesta a violaciones de seguridad
• Buenas prácticas de seguridad

11. Gestión de Incidentes

11.1 Proceso de Respuesta

CheckOP proporciona cobertura en días laborables para responder a eventos de seguridad y privacidad. El proceso incluye:

1. Detección: Identificación del incidente mediante alertas automatizadas, proveedores, solicitudes de clientes u otros medios
2. Clasificación: Determinación del tipo y severidad del incidente
3. Contención: Aislamiento del problema para evitar mayor impacto
4. Investigación: Análisis del origen y alcance del incidente
5. Resolución: Implementación de soluciones y restauración del servicio
6. Comunicación: Notificación a clientes afectados según corresponda
7. Revisión: Análisis posterior para prevenir recurrencia

11.2 Comunicación de Incidentes

• El director de seguridad revisa todos los incidentes relacionados con la seguridad
• Contacto con clientes afectados por correo electrónico o telefónicamente
• Actualizaciones periódicas durante la resolución del incidente
• Informes posteriores al incidente cuando sea apropiado

11.3 Notificación de Violaciones

En caso de una violación de seguridad que afecte datos de clientes, Progresus:

• Notificará a los clientes afectados según lo requiera la ley aplicable
• Proporcionará información sobre la naturaleza del incidente
• Describirá las medidas tomadas para mitigar el impacto
• Ofrecerá orientación sobre acciones que los clientes pueden tomar

12. Continuidad del Negocio

12.1 Planes de Continuidad

Progresus cuenta con planes de continuidad empresarial y recuperación de desastres enfocados en:

• Evitar interrupciones mediante redundancia
• Estrategias de recuperación rápida
• Aislamiento y resolución transparente de problemas

12.2 Redundancia de Infraestructura

• Distribución de instancias en múltiples zonas de disponibilidad
• Componentes web, de aplicación y base de datos con mínimo N+1 redundancia
• Replicación de datos en tiempo real

12.3 Estrategia de Copias de Seguridad

• Copias de seguridad diarias de bases de datos
• Retención mínima de siete días de copias recuperables
• Almacenamiento en instalaciones distribuidas (AWS S3)
• Duplicación en tiempo real para protección inmediata
• Protección de copias con controles de acceso y seguridad de bases de datos

12.4 Recuperación del Sistema

• Validación continua de procesos de recuperación
• Implementación continua que permite práctica diaria de procedimientos
• Capacidad de reversión ante errores detectados
• Tiempo objetivo de recuperación definido en el SLA

13. Seguridad de APIs

13.1 Autenticación de API

El acceso a la API de CheckOP se controla mediante:

• Autorización con clave de API para prototipos e integraciones personalizadas
• OAuth 2.0 para autenticación y autorización de producción
• OAuth obligatorio para integraciones oficiales
• Alcances definidos para autorización de solicitudes

13.2 Permisos Detallados

Los clientes pueden asignar permisos detallados para sus cuentas y restringir el acceso a características y datos según sea necesario.

14. Responsabilidades del Cliente

14.1 Seguridad de Credenciales

El cliente es responsable de:

• Mantener la confidencialidad de sus credenciales de acceso
• No compartir credenciales entre usuarios
• Notificar inmediatamente cualquier uso no autorizado sospechado
• Utilizar contraseñas seguras y únicas

14.2 Seguridad de Dispositivos

Para usuarios de la aplicación móvil:

• Mantener dispositivos seguros y actualizados
• Utilizar dispositivos autorizados según la configuración de la cuenta
• Proteger dispositivos con contraseña o biometría
• Notificar pérdida o robo de dispositivos

14.3 Uso Apropiado

El cliente debe:

• No cargar información sensible no autorizada
• Cumplir con las políticas de uso aceptable
• Reportar vulnerabilidades o incidentes de seguridad detectados
• Mantener actualizadas las configuraciones de seguridad de su cuenta

15. Contacto de Seguridad

Para reportar incidentes de seguridad, vulnerabilidades o consultas relacionadas con seguridad:

Progresus S.A.S.

• Correo electrónico: soporte@checkop.co
• Portal de soporte: https://support.checkop.co

Las notificaciones de posibles vulnerabilidades serán tratadas con prioridad y confidencialidad.

16. Actualizaciones de esta Política

Esta Política de Seguridad de la Información puede actualizarse periódicamente para reflejar mejoras en nuestras prácticas de seguridad o cambios en el entorno de amenazas.

Las actualizaciones importantes serán comunicadas a los clientes a través de los canales apropiados.

Esta Política de Seguridad de la Información refleja las prácticas actuales de CheckOP. Las medidas de protección se mejoran constantemente, y la información contenida en este documento no pretende crear obligaciones contractuales adicionales más allá de las establecidas en los Términos y Condiciones de Servicio.