Política de seguridad

Qué cubre esta política

Esto describe cómo Serverlys protege la infraestructura que opera y los datos que contiene: cuentas de hosting, registros de dominios, el sistema de facturación y los servicios de IA que se venden como ConvoAI y CallFlow. Aplica a nuestro personal y a cualquier contratista con acceso a esos sistemas.

No cubre la seguridad de lo que tú construyes. Una cuenta de hosting es una responsabilidad compartida: nosotros protegemos la plataforma y tú proteges la aplicación que corre en ella. Esta política no puede protegerte de un plugin desactualizado en tu propio sitio, y ninguna política de un proveedor de hosting puede afirmar honestamente lo contrario.

Qué no está certificado

Lo decimos primero, porque una política de seguridad que esconde esto está tratando de sacarle provecho. Serverlys no tiene a su nombre un certificado ISO 27001, un informe SOC 2 Tipo I o Tipo II, ni una certificación de cumplimiento PCI DSS.

Si necesitas un proveedor que cuente con alguna de ellas (porque tu propio auditor lo exige o porque tu sector lo obliga), pregúntanos antes de comprar, no después. Te diremos con claridad dónde estamos y, si no somos la opción correcta, te lo diremos.

Los pagos con tarjeta los procesa un proveedor de pagos que cumple con PCI, y los números de tarjeta nunca se guardan en nuestros sistemas ni pasan por ellos. Eso describe el flujo del pago; no es una afirmación de certificación de Serverlys.

Control de acceso

• El acceso a los sistemas de producción se limita al personal cuyo puesto lo requiere, y se retira cuando el puesto cambia o termina, no en alguna revisión posterior.
• El acceso administrativo exige autenticación multifactor. Es obligatoria para el personal, sin excepciones por comodidad.
• Las credenciales son individuales. No usamos accesos compartidos a producción, porque una acción que no se puede atribuir a nadie es una acción de la que nadie responde.
• El personal de soporte accede a los datos de clientes solo cuando es necesario para atender una solicitud que hiciste o para responder a un incidente.

Tú controlas el acceso a tu propia cuenta. Te recomendamos mucho activar la autenticación de dos factores, y nunca te pediremos tu contraseña: ni por correo, ni en una llamada, ni para agilizar un ticket de soporte.

Cifrado

• El tráfico entre tú y nuestros servicios se cifra en tránsito con TLS. Cada plan de hosting incluye un certificado sin costo, y no vendemos HTTPS como mejora.
• Las contraseñas de las cuentas se guardan como hashes con salt, nunca en una forma que se pueda revertir al original. No podemos decirte tu contraseña porque no la tenemos.
• Las copias de seguridad se cifran en reposo.

Respaldos y restauración

Los planes de hosting tienen copias de seguridad diarias, y restaurar es gratis. Cobrar por una restauración convierte tu peor día en una oportunidad de venta, y ese no es un negocio en el que queramos estar.

Las copias de seguridad son un mecanismo de recuperación, no un archivo. Guarda tu propia copia de todo lo que no puedas permitirte perder; eso aplica a cualquier proveedor, y un proveedor que insinúe lo contrario te está poniendo en riesgo.

Monitoreo, registros y parches

• La infraestructura se monitorea de forma continua, con alertas al personal ante una falla, no en una revisión programada.
• Los eventos administrativos y de autenticación se registran, y los registros se conservan el tiempo suficiente para investigar un incidente después de que se reporta, no solo mientras ocurre.
• Las actualizaciones de seguridad de los sistemas operativos y del software de la plataforma se aplican en un ciclo regular, y fuera de ciclo cuando una vulnerabilidad se está explotando activamente.

No publicamos ningún porcentaje de disponibilidad aquí ni en ninguna otra parte de este sitio. Una cifra así es un compromiso contractual con un esquema de créditos detrás, y no vamos a publicarla antes de poder respaldarla con nuestras propias mediciones.

Cuando algo sale mal

Todo proveedor tiene incidentes. Lo que los distingue es lo que pasa después, así que esto es a lo que nos comprometemos.

• Investigamos, contenemos y corregimos, en ese orden. Entender el alcance va antes que restaurar el servicio cuando restaurarlo primero destruiría la evidencia de lo que pasó.
• Si una filtración de datos personales te afecta, te avisamos sin demoras injustificadas, con lo que sepamos en ese momento, en lugar de esperar a tener el panorama completo.
• Cuando actuamos como tu encargado del tratamiento, nuestras obligaciones de notificación están en el acuerdo de tratamiento de datos, que es el que rige.
• No cerramos un incidente en silencio. Si te afectó, te enteras por nosotros.

Reportar una vulnerabilidad

Si encontraste una falla de seguridad en nuestros sistemas, la política de divulgación responsable explica cómo reportarla, qué está dentro del alcance y nuestro compromiso de no emprender acciones contra los investigadores que la sigan. Los reportes nos llegan a Support@serverlys.com.

Por favor, no hagas pruebas contra el sitio o los datos de otro cliente. El nuestro es el único entorno que tienes permiso de revisar, y ese permiso tiene límites que vale la pena leer antes de empezar.

Revisión

Esta política se revisa al menos una vez al año, y después de cualquier incidente que demuestre que uno de sus controles es insuficiente. La fecha al inicio de esta página es cuando entró en vigor la versión actual.