Seguridad

En MarketingMonster la seguridad es nuestra máxima prioridad. Nos confía sus datos empresariales, su información de pago y sus datos personales, y asumimos esa responsabilidad con seriedad. Aplicamos un enfoque de seguridad por capas que combina las mejores prácticas del sector, un cifrado robusto y una supervisión continua para proteger su información frente a accesos no autorizados, fugas de datos y ciberamenazas.

Este documento describe las medidas de seguridad que hemos implantado para proteger sus datos y garantizar la integridad de nuestra plataforma. Se aplica a todos los usuarios, empleados, contratistas y proveedores externos que acceden a datos de MarketingMonster, los tratan o los almacenan.

Finalidad y alcance. Esta política establece los requisitos mínimos de seguridad que rigen la plataforma, la infraestructura y las prácticas de tratamiento de datos de MarketingMonster. Se aplica a todos los sistemas, redes, aplicaciones y personas implicados en el tratamiento de datos de usuarios.

Obligaciones de cumplimiento. Mantenemos nuestro programa de seguridad alineado con los requisitos legales y normativos aplicables, incluidas las leyes de protección de datos y privacidad de las jurisdicciones en las que operamos. Cuando obligaciones contractuales o normativas impongan requisitos más estrictos, estos prevalecen.

El cifrado es la base de nuestra estrategia de protección de datos. En toda la plataforma se aplican los siguientes controles:

• Todos los datos transmitidos entre su dispositivo y nuestros servidores se cifran con TLS conforme al estándar del sector. El HTTP sin cifrar se redirige, y las cookies de sesión se marcan como seguras y no son legibles por scripts.
• Los datos sensibles en reposo, incluidos los secretos y los datos personales, se cifran con AES-256.
• Las contraseñas se almacenan con hash y sal mediante un algoritmo diseñado específicamente para contraseñas, de modo que nunca se guardan en texto claro y no pueden recuperarse, ni siquiera por nuestro equipo.
• Las conexiones a la base de datos están autenticadas y restringidas a nuestra propia red, y todas las consultas se construyen mediante controladores tipados con valores parametrizados, lo que descarta los ataques de inyección.
• Actualizamos nuestros protocolos de cifrado a medida que cambian los estándares en los que nos apoyamos.

Aplicamos mecanismos de autenticación sólidos para garantizar que solo los usuarios autorizados acceden a sus cuentas. Esto incluye:

• Autenticación en dos pasos con un código temporal generado por una aplicación de autenticación.
• Requisitos de complejidad de contraseñas e intentos de inicio de sesión limitados para frenar los ataques de adivinación.
• Gestión de sesiones con caducidad automática tras periodos de inactividad, e invalidación en el servidor al cerrar sesión o cambiar la contraseña.
• Las solicitudes que modifican algo deben proceder de las propias páginas de MarketingMonster: el servidor comprueba el origen de la solicitud y rechaza los envíos desde otros sitios.

El acceso a las funciones y datos sensibles se restringe según los roles y permisos de cada usuario. Seguimos el principio de mínimo privilegio, de modo que usuarios, personal y sistemas solo acceden a los datos y funciones que necesitan.

Verificación de identidad. La autenticación en dos pasos está disponible para todas las cuentas y se espera de los administradores. Las cuentas de usuario se verifican en el registro mediante la dirección de correo utilizada para crearlas, y los cambios que afectan a la configuración de seguridad, como una nueva contraseña o un cambio en la autenticación en dos pasos, activan pasos de verificación adicionales.

Revisión de accesos. Los roles y permisos de usuario se revisan periódicamente para garantizar que el acceso siga siendo adecuado y acorde con el principio de mínimo privilegio.

MarketingMonster acepta pagos con tarjeta y PayPal a través de proveedores de pago consolidados que cumplen la norma PCI DSS. Los pagos se realizan en páginas alojadas por esos proveedores, de modo que el número de su tarjeta, el código de seguridad y sus credenciales de PayPal se introducen allí y nunca pasan por nuestros servidores.

• Solo recibimos y conservamos lo necesario para gestionar su cuenta: el importe, la moneda, el resultado, el plan y la referencia de la transacción del proveedor.
• Cada notificación de pago que nos envía un proveedor se verifica con el proveedor antes de actuar sobre ella, y las notificaciones se deduplican para que un mensaje repetido nunca pueda acreditar un pago dos veces.
• Su saldo se mantiene en un libro mayor en el que cada movimiento se registra una sola vez, de modo que los saldos no pueden gastarse dos veces ni bajar de lo ingresado.
• Los datos de las transacciones se cifran y almacenan de forma segura, y mantenemos registros detallados para auditoría y prevención del fraude.

Supervisión de proveedores externos. Los proveedores de pago con los que trabaja MarketingMonster se evalúan en cuanto a su postura de seguridad y su cumplimiento de los estándares del sector antes de integrarlos, y se revisan periódicamente después.

Cada herramienta que abre se ejecuta en una sesión creada solo para su cuenta, en el servidor que eligió, mediante una clave firmada por dispositivo. Las sesiones nunca se comparten entre usuarios y terminan cuando se desconecta o cuando la sesión caduca; después solo conservamos que la sesión existió, nunca lo que hizo dentro de ella.

• Las credenciales que dan a una sesión acceso a una herramienta de terceros se guardan en el servidor y nunca se entregan a su navegador o dispositivo.
• Los límites de sesiones y dispositivos de cada plan se aplican en el servidor, y los patrones inusuales, como muchos dispositivos o accesos automatizados, se detectan y bloquean.
• La aplicación de escritorio se comunica con la misma API autenticada que el panel web, se actualiza a partir de versiones firmadas y no lee sus archivos ni su navegación fuera de la aplicación.

Nuestra infraestructura se aloja en servidores seguros de nivel empresarial con sistemas redundantes y copias de seguridad periódicas. Empleamos:

• Cortafuegos y sistemas de detección de intrusiones que supervisan y bloquean los intentos de acceso no autorizado; nada de la capa de datos es accesible desde la internet pública.
• Límites de frecuencia en todos los puntos de acceso públicos, incluidos el inicio de sesión, el registro, el restablecimiento de contraseña y el pago, para que el tráfico abusivo no agote el servicio para los demás.
• Auditorías de seguridad y pruebas de penetración periódicas para identificar y corregir vulnerabilidades, con seguimiento de los hallazgos hasta su cierre.
• Sistemas automatizados de supervisión y alerta que detectan actividades sospechosas en tiempo real.
• Planes de recuperación ante desastres que garantizan la continuidad del negocio ante imprevistos, probados con regularidad.

Actualizamos con regularidad nuestro software, sistemas y dependencias para corregir vulnerabilidades conocidas y protegernos frente a amenazas emergentes. Nuestro equipo de desarrollo sigue prácticas de codificación segura, revisa cada cambio antes de publicarlo y ejecuta un conjunto de pruebas automatizadas que cubre las rutas de la plataforma relevantes para la seguridad.

Los parches de seguridad se aplican con prontitud, y seguimos los avisos de seguridad de proveedores y organizaciones especializadas para estar al tanto de posibles amenazas.

Divulgación de vulnerabilidades. Mantenemos una política de divulgación responsable. Los investigadores de seguridad y el público pueden comunicar posibles vulnerabilidades a [email protected]. Los informes se acusan y se investigan conforme a nuestro proceso de divulgación responsable, y no emprendemos acciones contra los investigadores que actúan de buena fe y nos dan un tiempo razonable para corregir lo que encontraron.

Realizamos copias de seguridad automáticas y periódicas de todos los datos de las cuentas para garantizar su integridad y disponibilidad. Las copias se cifran y se almacenan en ubicaciones seguras y geográficamente distribuidas.

• Nuestros sistemas de copia de seguridad se prueban con regularidad para asegurar que funcionan correctamente.
• Mantenemos varias copias con distintos periodos de retención para protegernos frente a la pérdida de datos, y las copias se destruyen al final de su periodo de retención para que los datos eliminados no perduren.
• En caso de pérdida o corrupción de datos, disponemos de procedimientos de recuperación para restaurarlos lo antes posible.

Aunque aplicamos medidas de seguridad sólidas, usted también desempeña un papel fundamental en la protección de su cuenta:

• Use una contraseña robusta y única y active la autenticación en dos pasos. Guarde la clave de configuración manual en un lugar seguro.
• Nunca comparta sus credenciales. Una cuenta es para una sola persona.
• Mantenga sus dispositivos, su navegador y la aplicación de escritorio actualizados con los últimos parches de seguridad.
• Desconfíe de los intentos de phishing y de los correos sospechosos. Nunca le pediremos su contraseña por correo, y los pagos solo se realizan en las páginas de nuestros proveedores de pago.
• Compruebe siempre que las comunicaciones proceden de MarketingMonster antes de facilitar información sensible, y cierre sesión en dispositivos compartidos.
• Si observa cualquier actividad sospechosa, contáctenos de inmediato en [email protected].

Revisión y actualizaciones. Esta política se revisa periódicamente y se actualiza cuando es necesario para reflejar los cambios tecnológicos, normativos y de buenas prácticas del sector. La versión más reciente se publica en nuestra plataforma.

Cumplimiento. El cumplimiento de esta política es obligatorio para todos los empleados, contratistas y terceros con acceso a los sistemas o datos de MarketingMonster. Las infracciones pueden dar lugar a medidas disciplinarias, incluida la retirada del acceso o la extinción de la relación laboral, y pueden comunicarse a las autoridades competentes cuando la ley lo exija.

Aprobación. Esta política ha sido aprobada por la autoridad de seguridad y dirección designada de MarketingMonster. Cualquier excepción debe solicitarse formalmente, documentarse y aprobarse por escrito por el aprobador autorizado.

Excepciones. Las solicitudes de excepción a esta política deben presentarse por escrito a la autoridad de seguridad designada, incluyendo una justificación, una evaluación de riesgos y los controles compensatorios propuestos. Las excepciones aprobadas tienen una duración limitada y se revisan periódicamente.

Las preguntas sobre esta política pueden dirigirse a [email protected].