Adapty es la capa de infraestructura de suscripciones de miles de aplicaciones móviles y procesa miles de millones de dólares en transacciones de suscripción por cuenta de nuestros clientes.
Esa posición conlleva una obligación clara: los datos que usted y sus usuarios nos confían deben tratarse con cuidado, ser auditados por personas que no trabajan para nosotros y estar protegidos por controles que no dependan de ninguna persona en concreto.
En esta página se describe cómo lo hacemos.
Certificaciones
SOC 2 Type II
Una firma independiente de contadores públicos certificados examina nuestros controles de seguridad, disponibilidad y confidencialidad y emite un informe de atestiguamiento SOC 2 Type II sobre la eficacia operativa de dichos controles durante el período del informe. El informe vigente está a disposición de los clientes y de los potenciales clientes bajo acuerdo de confidencialidad. Puede solicitarlo a su equipo de cuenta o en [email protected].
Normativa de privacidad
Adapty trata los datos de los usuarios finales estrictamente en calidad de encargado del tratamiento, actuando únicamente siguiendo las instrucciones documentadas de nuestros clientes en virtud de nuestro Acuerdo de tratamiento de datos. Nuestras prácticas de tratamiento están diseñadas para cumplir los requisitos de:
- GDPR (UE y Reino Unido);
- LGPD (Brasil).
Si en su jurisdicción existen requisitos específicos que no figuran en esta lista, póngase en contacto con nosotros: normalmente podemos adaptarnos a ellos.
Cómo protegemos los datos
Cifrado
Todos los datos de los clientes se cifran en tránsito (TLS 1.2+) y en reposo mediante algoritmos de cifrado estándar del sector.
Red e infraestructura
Los sistemas de producción se ejecutan en entornos reforzados conformes a los estándares del sector, con segmentación de red entre servicios, tráfico de entrada y de salida restringido y acceso con privilegios mínimos para el reducido grupo de ingenieros que son los únicos que pueden acceder a producción. El acceso a producción requiere autenticación multifactor y queda registrado.
Supervisión continua
Los registros de nuestra infraestructura y de nuestras aplicaciones se agregan de forma centralizada, las anomalías activan alertas automáticas y un ingeniero de guardia está disponible 24/7 para responder a los incidentes.
Desarrollo seguro
Cada cambio en el código se somete a revisión por pares, a análisis estático automatizado y a comprobaciones de seguridad en CI antes de poder llegar a producción. Las dependencias se supervisan y se actualizan con parches según un calendario definido, y mantenemos un proceso de despliegue claro que registra quién desplegó qué y cuándo.
Prácticas operativas
Personal
Todo el personal completa una formación de concienciación en seguridad al incorporarse y, posteriormente, cada año. La autenticación multifactor es obligatoria en todos los sistemas de la empresa que la admiten. El acceso a los datos de los clientes está restringido, se registra y se revisa periódicamente.
Proveedores
Todos los terceros de los que dependemos para la infraestructura, el tratamiento de datos o la seguridad se someten a una revisión documentada antes de su incorporación y se reevalúan periódicamente. A los proveedores críticos se les exige contar con certificaciones equivalentes (normalmente SOC 2 Type II o ISO 27001).
Resiliencia
Realizamos copias de seguridad cifradas según un calendario definido, mantenemos redundancia en nuestros servicios críticos y probamos nuestros procedimientos de recuperación ante desastres, de modo que la recuperación sea algo que realmente hemos ensayado y no algo que pensamos resolver sobre la marcha bajo presión.
Respuesta a incidentes
Mantenemos un plan documentado de respuesta a incidentes con niveles de gravedad definidos, protocolos de comunicación y revisión posterior a cada incidente.
Notificación de vulnerabilidades
Si cree haber encontrado un problema de seguridad en Adapty, escriba a [email protected]. Investigamos cada notificación creíble, colaboramos con quien la notifica en su corrección y reconocemos el mérito de los investigadores que siguen una divulgación responsable (salvo que prefieran permanecer en el anonimato).
Para revisiones de seguridad Enterprise
Los clientes Enterprise y los potenciales clientes pueden solicitar lo siguiente a [email protected]:
- Informe SOC 2 Type II vigente (bajo acuerdo de confidencialidad);
- Cuestionario de seguridad cumplimentado (CAIQ, SIG o su propio formato);
- Resumen de la política de seguridad de la información;
- Resumen de la prueba de penetración.
