Seguridad y subprocesadores
Lo que un CISO o un comprador debería poder comprobar antes de confiarnos su inventario: dónde funcionan nuestros servidores, quién más ve pasar sus datos, qué protege la plataforma y a quién escribir si encuentra una falla en ella.
Alojamiento y ubicación
La aplicación, su base de datos, su motor de búsqueda y nuestro servidor de correo se ejecutan en servidores operados por OVHcloud (OVH SAS), empresa francesa, en centros de datos ubicados en Francia.
El sitio web y la aplicación se sirven a través de Cloudflare, que actúa como un proxy inverso: entrega de páginas, protección contra ataques de denegación de servicio y filtrado de tráfico malicioso. Como cualquier proxy inverso, Cloudflare ve pasar las direcciones IP, los encabezados y el contenido de las solicitudes. Cloudflare, Inc. es una empresa estadounidense con una red mundial, por lo que tratamos este flujo como una transferencia fuera de la Unión Europea, cubierta por las salvaguardas que se enumeran a continuación.
Nuestros subprocesadores
Aquí está la lista completa de los proveedores que procesan datos personales por nuestra cuenta. También aparece en nuestro política de privacidad.
| Subprocesador | Rol | Datos involucrados | País | Transferencia de salvaguardias |
|---|---|---|---|---|
| OVHcloud (OVH SAS) | Alojamiento de los servidores, la base de datos y el servidor de correo. | Todos los datos del servicio: cuentas, inventarios, alertas, casos, registros, correos electrónicos enviados. | Francia | No aplicable: alojado en Francia |
| Cloudflare, Inc. | Proxy inverso, entrega de páginas (CDN) y protección contra ataques, frente al sitio web y la aplicación | Direcciones IP, encabezados y contenido de las solicitudes que pasan | Estados Unidos | Certificación según la UE-EE.UU. Marco de privacidad de datos y cláusulas contractuales estándar de la Comisión Europea |
| PostHog, Inc. | Medición de audiencia para el sitio web y la aplicación. | Visitas a páginas, clics, información técnica del navegador, dirección IP. Solo con su consentimiento: un identificador persistente, grabación de sesión (entrada escrita enmascarada) y, en la aplicación, el identificador de su cuenta, correo electrónico, nombre, función, idioma y plan. | empresa americana; datos alojados en la UE (Frankfurt) | Acuerdo de procesamiento de datos (DPA) y cláusulas contractuales estándar |
| Mistral AI | Asistente “Vigie” y funciones de IA | Mensajes enviados al asistente y el contexto técnico necesario para responder (componentes, alertas, CVEs, fechas de fin de vida útil), solo cuando utiliza estas funciones | Francia; alojado en la UE | No aplicable: procesado en la Unión Europea |
| Paddle (Mercado limitado de Paddle.com) | Revendedor oficial (Merchant of Record): pago, facturación e impuestos de suscripciones | Nombre, correo electrónico, dirección de facturación, número de IVA, método de pago (ingresado con Paddle, nunca con nosotros) | Reino Unido | Decisión de adecuación de la Comisión Europea para el Reino Unido, o cláusulas contractuales tipo |
Los correos electrónicos (alertas, resúmenes, mensajes de servicio) se envían desde nuestro propio servidor de correo, alojado en OVHcloud: no interviene ningún proveedor de entrega de correo electrónico. Están firmados por DKIM y nuestro dominio publica registros SPF y DMARC.
Las notificaciones que configura para sus propias herramientas (Slack, Microsoft Teams, webhooks) van a los destinos que elija: esos servicios son suyos, no de nuestros subprocesadores.
No utilizamos sus datos para entrenar un modelo. Según los términos de Mistral AI, los datos enviados a su API pago tampoco se utilizan para entrenar sus modelos; se conserva durante 30 días para la detección de abusos.
Medidas implementadas
Esta lista solo contiene medidas que funcionan hoy. Lo que no está en él, no lo reclamamos.
Cuentas y autenticación
- Contraseñas codificadas con bcrypt, nunca almacenadas en texto plano.
- Autenticación de dos factores con códigos basados en tiempo (TOTP, RFC 6238), disponible en todas las cuentas, con códigos de recuperación de un solo uso. Al encenderlo se cierran las otras sesiones abiertas.
- Inicio de sesión único OpenID Connect (SSO) en el plan Business, con verificación de los dominios de la organización.
- Tokens de acceso válidos por 15 minutos, renovados con tokens de sesión de un solo uso válidos por 7 días, transportados en cookies HttpOnly y Secure.
- Cambiar o restablecer una contraseña cierra todas las sesiones de la cuenta.
- Los intentos tienen una velocidad limitada en las solicitudes de registro, inicio de sesión, autenticación de dos factores y restablecimiento de contraseña, con una alerta a nuestro equipo cuando se excede el límite.
Aplicación y API
- En la aplicación: una estricta política de seguridad de contenidos (CSP) con un nonce renovado en cada solicitud; visualización dentro de marcos de terceros bloqueados; Encabezados HSTS, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
- En el sitio web: encabezados X-Frame-Options, X-Content-Type-Options y Referrer-Policy.
- Claves API almacenadas solo como hashes, revocables y restringibles a familias de datos específicas.
- Secretos de conexión SSO cifrados en la base de datos.
Infraestructura
- La base de datos, el caché y el motor de búsqueda escuchan sólo en la interfaz local del servidor: no se puede acceder a ellos desde Internet. Solo se puede acceder al API a través del servidor web frontal.
- Los servicios se dividen en redes Docker independientes. Los contenedores de aplicaciones y sitios web se ejecutan sin privilegios de root, sin capacidades de Linux y con la escalada de privilegios deshabilitada; El contenedor de la aplicación se ejecuta en un sistema de archivos de solo lectura.
Trazabilidad
- Registro de auditoría de acciones sensibles: inicios de sesión, cambios de contraseña, grupos y permisos, configuración de SSO, cambios de inventario, acciones de administración. Conservado durante 30 días (Free), 90 días (Team), 1 año (Pro) o 5 años (Business); Los administradores de la organización pueden consultarlo en los planes Pro y Business.
cadena de suministro de software
- Producimos una lista de materiales de software (SBOM) en formato CycloneDX a partir de las imágenes realmente implementadas: paquetes del sistema, bibliotecas y dependencias, con sus versiones exactas. Puedes solicitarnoslo para tu valoración de proveedor.
Informar una vulnerabilidad
¿Crees que has encontrado un defecto en TechWatchAlert? escribir a [email protected]. Esta dirección también se publica en el formato estándar security.txt (RFC 9116), en el sitio web así como en la aplicación.
Alcance
- Dentro del alcance: el sitio web techwatchalert.com y la aplicación y su API en app.techwatchalert.com.
- Fuera de alcance: los servicios de nuestros subprocesadores (informarlos al proveedor en cuestión), ataques de denegación de servicio, ingeniería social e informes de herramientas automatizadas sin impacto demostrado.
Reglas de prueba
- Pruebe con sus propias cuentas. No acceder ni modificar los datos de otros usuarios, y conservar únicamente lo que la demostración requiera.
- Las pruebas automatizadas o intrusivas (escaneos, fuzzing, inyección) de nuestra infraestructura requieren autorización previa por escrito, según lo dispuesto en Artículo 12.3 de las Condiciones de uso: escríbanos antes de ejecutarlos.
- Danos tiempo para solucionar el problema antes de cualquier publicación y acordemos la fecha juntos.
Qué informe tan útil contiene
- la página, dirección o punto final API en cuestión;
- los pasos a reproducir, con las solicitudes y respuestas pertinentes;
- el impacto que pudiste demostrar;
- cómo volver a usted.
A qué nos comprometemos
Reconocemos cada informe, lo mantenemos informado sobre su manejo hasta que se solucione y acordamos con usted la fecha de publicación. No emprendemos acciones legales contra nadie que haya actuado de buena fe y dentro de estas normas, según lo dispuesto en Artículo 12.2 de las Condiciones de uso.
TechWatchAlert en tu evaluación NIS2
Si su organización está sujeta a la directiva NIS2, TechWatchAlert es uno de sus proveedores: el artículo 21.2.d le pide que tenga en cuenta la seguridad de su cadena de suministro. Esta página recoge lo que una evaluación de este tipo suele exigir a un proveedor. Para un cuestionario o un acuerdo de procesamiento de datos (DPA), escríbenos.
TechWatchAlert también proporciona herramientas para parte de sus propias obligaciones: seguimiento que incluye CERT-FR y EUVD, registro de riesgos aceptados, plazos de remediación, proveedores, incidencias. Qué cubre la oferta y qué no.
Preguntas frecuentes
¿Mis datos salen de la Unión Europea?
Los datos del servicio están alojados en Francia, en OVHcloud. Tres subprocesadores están establecidos fuera de la Unión Europea: Cloudflare, que supervisa el tráfico web, y PostHog, que mide la audiencia, son estadounidenses; Paddle, que se encarga de la facturación, es británica. Cada una de estas transferencias está cubierta por una salvaguarda prevista por el RGPD, que se muestra en la tabla de subprocesadores.
¿Usas mis datos para entrenar una IA?
No. Cuando utiliza el asistente Vigie, su pregunta y el contexto técnico relevante van al API pago de Mistral AI, alojado en la Unión Europea. Según los términos de Mistral AI, estos datos no se utilizan para entrenar sus modelos y se conservan durante 30 días para la detección de abusos.
¿La medición de audiencia espera su consentimiento?
En parte. Sin su consentimiento, PostHog mide el tráfico sin cookies ni almacenamiento en su navegador, sin registro de sesión y sin vincular nada a su cuenta. Con su consentimiento, instala cookies, registra sesiones con campos escritos enmascarados y, en la aplicación, vincula eventos a su cuenta.
¿Podemos firmar un acuerdo de procesamiento de datos (DPA)?
Sí, bajo pedido a partir del plan Team y viene firmado con el plan Business. Pídelo, con tu propia plantilla si tienes una; de lo contrario proporcionamos el nuestro.
¿Cómo informo una vulnerabilidad?
Escriba a [email protected], siguiendo la sección “Reportar una vulnerabilidad” de esta página: alcance, reglas de prueba y qué contiene un informe útil.