1. COMPROMISO
X TENTION GROUP LTDA opera LUSAI bajo un modelo de seguridad por diseño y por defecto. La información de los clientes es el activo principal del servicio y se protege con medidas técnicas, administrativas y humanas proporcionales a su sensibilidad.
2. MEDIDAS TÉCNICAS
- Cifrado en tránsito mediante TLS en todas las comunicaciones entre el usuario, la aplicación y las interfaces programáticas.
- Cifrado en reposo en las bases de datos y en los sistemas de almacenamiento de archivos.
- Control de acceso basado en roles, con principio de mínimo privilegio y segregación de funciones.
- Autenticación reforzada con segundo factor para accesos administrativos y operaciones sensibles.
- Registro de auditoría de accesos, cambios y eventos relevantes, con marcas de tiempo e identificación del actor.
- Respaldo periódico con pruebas de restauración documentadas.
- Aislamiento de entornos de desarrollo, pruebas y producción.
- Gestión de vulnerabilidades con revisión de dependencias y pruebas de seguridad periódicas.
- Protección de llaves de API mediante almacenamiento cifrado, rotación y revocación inmediata.
3. MEDIDAS ORGANIZATIVAS
- Política interna de tratamiento de datos y manual de procedimientos.
- Acuerdos de confidencialidad con todo el personal y contratistas.
- Capacitación periódica en seguridad y protección de datos.
- Procedimiento documentado de gestión de incidentes.
- Registro de subencargados con evaluación de garantías.
4. GESTIÓN DE INCIDENTES
LUSAI mantiene un protocolo que incluye detección, contención, evaluación del impacto, notificación y lecciones aprendidas. Cuando un incidente afecte datos personales, se informará a la Superintendencia de Industria y Comercio y a los titulares afectados en los términos del artículo 2.2.2.25.1.5 del Decreto 1074 de 2015, y a los clientes empresariales cuyos datos se hayan visto comprometidos, sin dilación indebida y a más tardar dentro de los cinco (5) días hábiles siguientes a la confirmación del incidente.
5. RESPONSABILIDAD DEL CLIENTE
La seguridad es un esfuerzo compartido. El Cliente se obliga a: custodiar sus credenciales, revocar accesos de usuarios que se desvinculen, rotar sus llaves de API, no compartir enlaces públicos con datos sensibles y reportar cualquier anomalía.
6. REPORTE DE VULNERABILIDADES
Se reciben reportes de seguridad en seguridad@lusai.app. LUSAI se compromete a acusar recibo, evaluar el hallazgo y mantener informado al reportante sin represalias por la divulgación responsable.
7. CONTINUIDAD
LUSAI mantiene planes de continuidad y recuperación con objetivos definidos de tiempo y punto de recuperación, y realiza pruebas periódicas de restauración.