Centro de confianza
Todo lo que podemos contarle sobre cómo se protege la plataforma, dónde viven sus datos y qué certificaciones tenemos — incluidas las que no tenemos.
Marcos con los que nos alineamos o que estamos persiguiendo activamente — el estado actual de cada certificación está más abajo.
Residencia de datos y privacidad
Almacenados en Canadá, en servidores que operamos nosotros mismos.Almacenamiento principal de datos
Canadá 🇨🇦
Los datos de cuenta, los resultados de escaneo y los registros se almacenan en Toronto, Canadá, en servidores de nuestra propiedad que operamos nosotros. Además, las copias de seguridad nocturnas cifradas se copian a Cloudflare R2, que no tiene una ubicación fija; solo nosotros tenemos la clave. Cada subencargado de la lista siguiente recibe solo lo que su servicio necesita.
Cifrado en reposo
AES-256-GCM
Los secretos y las credenciales almacenadas se cifran con AES-256-GCM. La clave de cifrado es distinta de la clave de firma de los tokens, vive solo en el entorno del servidor y nunca se escribe en la base de datos, en las copias de seguridad ni en el repositorio.
Cifrado en tránsito
TLS 1.3
Todo el tráfico de la API y de la web usa TLS 1.3 con confidencialidad directa perfecta. Las suites de cifrado están limitadas a las configuraciones más sólidas disponibles.
Sin captura de tráfico
Nunca
Nunca capturamos ni almacenamos tráfico de red. Lo que produce un escaneo — la salida de la herramienta y los hallazgos extraídos de ella — se guarda para que puedas leerlo y generar informes, y se elimina a los 90 días.
Qué conservamos
Principios de tratamiento de datos
Cifrado en tránsito y en reposo
TLS 1.3 con confidencialidad directa perfecta en cada conexión. Los secretos y las credenciales almacenadas se cifran con AES-256-GCM, bajo una clave separada de la que firma los tokens.
Ejecución aislada
Los escaneos se ejecutan en el servidor, en un contenedor de escaneo dedicado, con un proceso por trabajo. El comando se divide en tokens antes de insertar sus valores, así que no interviene ningún intérprete de comandos, y cada consulta está limitada a su organización.
Controles alineados con SOC 2
Infraestructura diseñada según los Trust Services Criteria de SOC 2 (seguridad, disponibilidad, confidencialidad, privacidad). La auditoría Type II no se ha completado: la tabla de marcos que aparece más abajo indica exactamente en qué punto está cada uno.
Registro de auditoría solo de anexado
Las acciones privilegiadas se escriben en un registro de auditoría de solo anexado, limitado a su organización y consultable desde el panel. Los registros se conservan un año.
MFA, SSO y roles
Autenticación multifactor mediante TOTP con códigos de respaldo de un solo uso. Inicio de sesión único con SAML 2.0, OIDC y LDAP / Active Directory en Enterprise. El control de acceso por roles se aplica en el servidor, no en la interfaz.
Cadena de herramientas mantenida
Nosotros reconstruimos y redesplegamos las imágenes de los escáneres y sus plantillas de vulnerabilidades. Usted nunca actualiza un escáner ni parchea una máquina Kali.
Minimización de datos
Guardamos metadatos de escaneo y hallazgos, no tráfico en bruto. La retención es configurable y puede exportar o eliminar sus datos cuando quiera. Artículo 5(1)(c) del RGPD.
Supervisión de la plataforma
Limitación de peticiones por niveles de coste en cada endpoint, detección estadística de anomalías en la actividad de la cuenta y vigilantes de salud que reinician un servicio caído sin esperar a una persona.
security.txt (RFC 9116)
Nuestro archivo de contacto de seguridad, plenamente conforme con la RFC 9116 del IETF. Lo descubren automáticamente los buscadores y los investigadores de seguridad.
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
Divulgación responsable
1Alcance
Dentro del alcance:
- cyber-sec-pro.com y sus subdominios
- app.cyber-sec-pro.com: la plataforma SaaS
- api.cyber-sec-pro.com: la API REST
Fuera del alcance:
- Ingeniería social y phishing
- Denegación de servicio (DoS/DDoS)
- Seguridad física
- Servicios de terceros que no operamos
2Canal de notificación
Comunique las vulnerabilidades de seguridad a: security@cyber-sec-pro.com
Plantilla de informe:
- Asunto: [SECURITY] descripción breve
- Activo afectado: URL o endpoint
- Tipo de vulnerabilidad: XSS, SQLi, IDOR, …
- Pasos para reproducirla: 1, 2, 3 …
- Impacto: fuga de datos, escalada de privilegios, …
- Puntuación CVSS (opcional)
- Prueba de concepto o capturas de pantalla
3SLA de respuesta
- Primera respuesta: ≤ 24 hours
- Actualización de estado: ≤ 72 hours
- Corrección o excepción: ≤ 90 days
4Puerto seguro
- No emprenderemos acciones legales por informes que cumplan esta política
- La identidad de quien informa se mantiene confidencial
- Se añadirá al salón de la fama una vez corregida
- Está prohibido realizar pruebas sin permiso por escrito
Marcos de cumplimiento
4/10 ConformeObjetivos de respuesta a incidentes
Objetivos sobre la rapidez con la que actuamos una vez que un incidente se detecta o se notifica a security@cyber-sec-pro.com. CyberSec Pro lo gestiona una sola persona, así que el plazo corre de 07:00 a 23:00, hora de Toronto, todos los días; un aviso que llega de noche lo pone en marcha a las 07:00. Los plazos legales para notificar una brecha de datos corren sin interrupción. Son objetivos, no compromisos contractuales. El procedimiento sigue las fases de NIST SP 800-61: detectar, contener, erradicar, recuperar y revisar.
| Prioridad | Respuesta | Notificación | Resolución |
|---|---|---|---|
| P0 — Crítica | ≤ 1 hora | ≤ 4 horas | ≤ 24 horas |
| P1 — Alta | ≤ 4 horas | ≤ 24 horas | ≤ 72 horas |
| P2 — Media | ≤ 24 horas | ≤ 72 horas | ≤ 7 días |
| P3 — Baja | ≤ 3 días | ≤ 7 días | ≤ 30 días |
Subencargados del tratamiento
Terceros que tratan datos personales por cuenta nuestra (art. 28 del RGPD). Cada acuerdo de tratamiento de datos forma parte de las condiciones del proveedor y se aceptó con la cuenta; no tenemos copias firmadas por separado. La excepción es Gmail: es una cuenta personal y Google no ofrece DPA para ella.
| Proveedor | Finalidad | Ubicación | DPA |
|---|---|---|---|
| Stripe, Inc. | Procesamiento de pagos | Estados Unidos (CCE de la UE + DPF) | ✓ En vigor |
| Cloudflare, Inc. | Protección DDoS, WAF, CDN, terminación TLS, analítica web sin cookies, enrutamiento del correo entrante | Red global (CCE de la UE + DPF) | ✓ En vigor |
| Brevo (Sendinblue SAS) | Correos transaccionales, con seguimiento de clics en enlaces | UE (CCE de la UE) | ✓ En vigor |
| Google (Gmail) | Nuestro buzón de entrada: los correos enviados a nuestras direcciones | Estados Unidos (CCE de la UE + DPF) | Ninguno |
| Cloudflare R2 | Almacenamiento externo de copias de seguridad cifradas de la base de datos, cada una conservada durante 30 días | Ubicación automática, sin jurisdicción definida (cifrado; solo nosotros tenemos la clave) | ✓ En vigor |
| Google Analytics | Estadísticas agregadas de uso del sitio | Estados Unidos (CCE de la UE + DPF) | ✓ En vigor |
Última actualización: noviembre de 2026. Cualquier cambio en esta lista se publica aquí y en la política de privacidad el mismo día en que entra en vigor. El último: Brevo sustituyó a Mailjet el 29 de septiembre de 2026, después de que Mailjet cerrara nuestra cuenta. El 30 de octubre de 2026 se corrigió la fila de Brevo para indicar que Brevo registra los clics en los enlaces, algo que hacía desde el principio. Desde el 4 de noviembre de 2026, Gmail ya no retransmite nuestros correos salientes; ahora es solo nuestro buzón de entrada.
Acuerdo de tratamiento de datos (DPA)
Cualquier cliente puede tener un acuerdo de tratamiento de datos conforme al artículo 28 del RGPD: solicítelo y se lo enviamos para su firma. Los datos personales procedentes de la UE y del Reino Unido llegan a nosotros en Canadá al amparo de las decisiones de adecuación que ambos han adoptado para Canadá, por lo que esa transferencia no necesita cláusulas contractuales tipo. Nuestra política de privacidad indica cada subencargado, dónde está y qué datos recibe.
Alcance del DPA
- Finalidad y medios del tratamiento
- Categorías de datos personales y de interesados
- La lista de subencargados y cómo se aprueban los nuevos
- Medidas técnicas y organizativas
- Notificación de brechas, sin dilación indebida y en 72 horas
- Transferencias internacionales y la garantía en la que se basa cada una
Evaluación de impacto relativa a la protección de datos
✓ Aprobada, noviembre de 2026En noviembre de 2026 realizamos una evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD) de todo el servicio, incluidos los escaneos, la identificación de dispositivos y las comprobaciones semanales de la red. Es una autoevaluación aprobada por nuestro fundador; no la ha revisado ningún delegado de protección de datos (no hay ninguno designado ni es obligatorio) ni ninguna autoridad de control. Ningún riesgo restante se calificó como alto. La revisamos cada año y antes de cualquier cambio en los datos personales que tratamos. Los clientes pueden solicitar una copia.
Pruebas de seguridad y auditorías
Pruebas de seguridad internas continuas con nuestra propia plataforma y revisión manual. Está previsto realizar pruebas de penetración independientes; los informes resumidos estarán disponibles para clientes Enterprise bajo NDA una vez completadas.
Nuclei 3.11 + Wapiti 3.2, run against production
Alcance: https://app.cyber-sec-pro.com — TLS, cabeceras, CORS, plantillas de mala configuración y exposición, además de pruebas de XSS, SQLi y redirección abierta
Hallazgos: 0 críticas, 0 altas, 0 medias, 14 informativas. Wapiti: 0 vulnerabilidades.
CyberSec Pro Security Team (internal)
Alcance: Autenticación, autorización, gestión de secretos, claves de API, MFA, SSO y gestión de sesiones en todo el repositorio
Hallazgos: Varios controles resultaron no funcionar en producción y se reconstruyeron; los secretos que protegían se rotaron. Cada corrección queda fijada por una prueba de regresión.
Salón de la fama de seguridad
Agradecemos a las personas investigadoras que comunican vulnerabilidades conforme a nuestra política de divulgación responsable.
Comunicando una vulnerabilidad podría ser la primera persona en nuestro salón de la fama.
Comunicar una vulnerabilidadContacto de seguridad
Seguridad: security@cyber-sec-pro.com
Legal/DPA: legal@cyber-sec-pro.com
Privacidad: privacy@cyber-sec-pro.com
Centro de confianza actualizado en septiembre de 2026 · Versión de la política: 2.2.0 · Próxima revisión: marzo de 2027