POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN, GESTIÓN DE INCIDENTES Y VULNERABILIDADES

1. Objetivo

Esta Política presenta los compromisos públicos de METADAX para proteger la información, los sistemas, las aplicaciones, los servicios, los datos personales y los activos de los clientes contra el acceso no autorizado, la destrucción, la pérdida, la alteración, la indisponibilidad, la divulgación indebida y el uso incompatible con su finalidad.

La Política adopta un lenguaje proporcional al tamaño, la estructura, la escala, el volumen, la naturaleza de los datos y el riesgo de cada servicio. Podrán definirse requisitos adicionales de disponibilidad, continuidad, auditoría, cifrado, soporte, monitoreo o seguridad en un contrato, Acuerdo de Tratamiento de Datos, anexo de seguridad o SLA.

Esta Política no divulga la arquitectura detallada, las reglas internas de detección, claves, credenciales, configuraciones ni información que pueda aumentar los riesgos de seguridad.

2. Alcance

Se aplica, según el contexto, a:

• sitios web, portales, aplicaciones y API operados por METADAX;

• productos SaaS y software licenciado;

• entornos de desarrollo, prueba y producción;

• datos personales y datos del Cliente tratados por METADAX;

• colaboradores, administradores, prestadores de servicios, proveedores y socios con acceso autorizado;

• desarrollo de sitios web, sistemas, automatizaciones, integraciones y aplicaciones; y

• recepción, análisis y respuesta a vulnerabilidades e incidentes.

Los sistemas, datos y entornos de terceros que no estén controlados ni operados por METADAX están sujetos a las políticas de sus respectivos responsables. El contrato específico podrá delimitar el alcance, las responsabilidades y los controles aplicables.

Los sitios web de terceros desarrollados por METADAX son responsabilidad de dichos terceros. METADAX no será responsable por errores, lucro cesante, pérdidas ni otros posibles problemas derivados de la intermitencia del acceso, la indisponibilidad total o parcial, o la pérdida o alteración de datos.

3. Principios

METADAX orienta su seguridad por los siguientes principios:

4. Gobernanza y responsabilidades

La administración de METADAX es responsable de aprobar las directrices, asignar recursos proporcionales al riesgo y supervisar la respuesta a incidentes relevantes.

El responsable de seguridad o el equipo designado coordina la aplicación de esta Política, la gestión de vulnerabilidades, el análisis de riesgos, la respuesta a eventos y la comunicación interna. El responsable de privacidad o encargado de protección de datos (DPO) actúa conjuntamente cuando hay datos personales, derechos de los titulares o necesidad de comunicación a la ANPD (Autoridad Nacional de Protección de Datos de Brasil).

Los colaboradores, prestadores de servicios y proveedores deben:

1. utilizar solo accesos autorizados;

2. proteger credenciales, claves, dispositivos e información;

3. comunicar sospechas, incidentes y vulnerabilidades;

4. seguir la capacitación, los procedimientos y las instrucciones;

5. no copiar, extraer ni compartir datos sin autorización; y

6. devolver, eliminar o restringir la información al finalizar el acceso.

Los clientes deben utilizar los servicios conforme a la documentación, mantener sus credenciales seguras, aplicar controles en sus propios entornos, informar contactos de emergencia y no introducir datos de alto riesgo en un servicio que no haya sido contratado para ese fin.

5. Controles de seguridad

METADAX podrá adoptar, según el riesgo y el servicio:

5.1 Gestión de accesos

Los accesos deben concederse según la función, la necesidad y la duración. Cuando sea posible, se utilizarán autenticación reforzada, separación de privilegios, revisión periódica, registro de accesos y revocación al finalizar o cambiar la necesidad.

Las credenciales no deben compartirse ni almacenarse en lugares inseguros. Las claves, tokens, contraseñas y secretos deben protegerse y sustituirse cuando se sospeche que han sido comprometidos.

5.2 Desarrollo y cambios

Las soluciones y los cambios deben considerar la seguridad desde la planificación. Según el riesgo, el proceso podrá incluir revisión de requisitos, segregación de entornos, control de versiones, validación, pruebas, análisis de dependencias, revisión de accesos y plan de reversión.

El nivel de prueba y revisión será proporcional al servicio. Ninguna frase de esta Política representa una certificación, una auditoría independiente ni una garantía de ausencia de vulnerabilidades.

5.3 Actualizaciones y vulnerabilidades

METADAX busca mantener los sistemas, las dependencias y los componentes en versiones con soporte. La prioridad de corrección considera la criticidad, la exposición, la posibilidad de explotación, el impacto, la disponibilidad de una corrección y las dependencias del servicio.

Las vulnerabilidades identificadas pueden corregirse, mitigarse, monitorearse o aceptarse temporalmente, con un registro y una justificación acordes con el riesgo.

5.4 Protección de datos y cifrado

Los datos personales y la información confidencial se tratarán con medidas acordes con su naturaleza y riesgo. Podrán aplicarse cifrado, seudonimización, enmascaramiento, control de copias y separación de entornos cuando sea técnica y económicamente adecuado.

METADAX no declara que todos los datos, entornos, copias de seguridad, integraciones o canales utilicen el mismo mecanismo de cifrado. Los requisitos específicos se definirán en el servicio o en el anexo de seguridad.

5.5 Copias de seguridad y continuidad

Cuando el servicio incluya almacenamiento o alojamiento, METADAX podrá mantener copias de seguridad, redundancia o procedimientos de restauración según el plan, el servicio y el riesgo. El Cliente debe mantener una copia independiente de sus datos cuando ello sea compatible con su responsabilidad y con el contrato.

El RTO, el RPO, la disponibilidad, la ventana de mantenimiento y el plan de continuidad solo serán exigibles cuando se hayan contratado expresamente. La existencia de una copia de seguridad no garantiza la recuperación de todo el contenido, especialmente cuando el Cliente altera, elimina o no proporciona los datos necesarios.

5.6 Proveedores

Los proveedores críticos se evaluarán según su función, acceso, datos, riesgo, criticidad y costo. Los contratos podrán incluir cláusulas de confidencialidad, seguridad, subcontratación, incidentes, eliminación, auditoría o cooperación, según corresponda.

5.7 Seguridad física y de dispositivos

METADAX adoptará medidas razonables para proteger las oficinas, los dispositivos, los equipos y los medios bajo su responsabilidad. El nivel de protección puede variar en caso de trabajo remoto, prestadores de servicios, entornos en la nube, proveedores o infraestructura de terceros.

6. Clasificación de la información

La información podrá clasificarse según su sensibilidad e impacto:

La clasificación debe considerar el contenido y no solo el lugar de almacenamiento. El Cliente podrá establecer una clasificación o requisitos más rigurosos en el contrato.

7. Eventos, vulnerabilidades e incidentes

7.1 Vulnerabilidad

Una vulnerabilidad es una debilidad que puede permitir acceso, alteración, indisponibilidad, exposición u otro impacto no autorizado. La existencia de una vulnerabilidad no significa que se haya producido una explotación o un incidente con datos personales.

7.2 Evento de seguridad

Un evento es un hecho observado o sospechado que puede afectar a la seguridad, como un intento de acceso, una alerta, una falla, una indisponibilidad, código malicioso, un comportamiento anómalo o el reporte de un tercero.

7.3 Incidente de seguridad

Un incidente es un evento confirmado que compromete o puede comprometer la confidencialidad, la integridad, la disponibilidad o la autenticidad de la información o de un sistema. Un incidente de datos personales es aquel que implica el tratamiento o la exposición de datos personales.

7.4 Incidente notificable

METADAX evaluará si el incidente que involucra datos personales puede generar un riesgo o daño relevante para los titulares. La evaluación considerará la naturaleza y la categoría de los datos, la cantidad y el perfil de los titulares, las consecuencias, la facilidad de uso indebido, las medidas de protección, la extensión, la reversibilidad y otros factores previstos en la legislación y en los procedimientos internos.

8. Respuesta a incidentes y CSIRT

METADAX mantendrá un responsable, equipo o proveedor designado para coordinar la respuesta a incidentes. El flujo podrá incluir:

1. recepción y registro;

2. triaje y clasificación;

3. contención y preservación de evidencias;

4. investigación y evaluación del impacto;

5. comunicación interna y contractual;

6. corrección, recuperación y seguimiento;

7. comunicación regulatoria y a los titulares cuando corresponda; y

8. lecciones aprendidas y mejora de los controles.

METADAX podrá restringir el acceso a la información del incidente para preservar la investigación, la seguridad, la privacidad, el secreto comercial y las instrucciones de las autoridades. La comunicación pública o contractual deberá informar hechos confirmados, riesgos relevantes, medidas adoptadas y orientaciones útiles, evitando la especulación.

Cuando METADAX actúe como encargada del tratamiento, comunicará al cliente responsable conforme al contrato y prestará una cooperación razonable para la evaluación y las comunicaciones legales. El cliente sigue siendo responsable de las decisiones y comunicaciones que le correspondan como responsable del tratamiento, salvo disposición contractual en contrario.

Cuando la ley y la normativa de la ANPD exijan la comunicación a la ANPD y a los titulares, METADAX realizará o apoyará la comunicación dentro del plazo aplicable. La Resolución CD/ANPD n.º 15/2024 prevé, como regla general, tres días hábiles y, cuando sea aplicable al agente de pequeño porte según la normativa, el doble de ese plazo; METADAX no utiliza esta información como SLA contractual para incidentes ni como exención de una respuesta oportuna.

9. Registro y conservación de incidentes

METADAX mantendrá un registro de los incidentes y de las decisiones de comunicación, incluidos los casos no comunicados cuando lo exija la normativa. El registro podrá contener la fecha de conocimiento, las circunstancias, los datos afectados, los titulares, la evaluación de riesgos, las medidas de corrección, la comunicación realizada y los motivos de la falta de comunicación.

Cuando corresponda, los registros de incidentes de seguridad se conservarán durante el plazo mínimo previsto en la normativa de la ANPD, actualmente de cinco años para el supuesto regulado, salvo obligación adicional de un plazo mayor.

10. Reporte responsable de vulnerabilidades

METADAX fomenta el reporte responsable de vulnerabilidades. El canal preferente es:

Correo electrónico: [email protected]

Canal alternativo: metadax.com.br/bug-bounty

Contacto de emergencia contractual: [email protected]

10.1 Alcance

El alcance debe publicarse y mantenerse en una lista actualizada, que contenga solo los activos que METADAX controla o está autorizada a probar. La versión final deberá sustituir esta tabla provisional:

Acceda a "metadax.com.br/bug-bounty" para consultar la lista de aplicaciones permitidas y su alcance.

Si la lista de activos no está publicada, el programa no debe declarar un safe harbor amplio ni autorizar pruebas genéricas en todo el ecosistema de METADAX.

10.2 Reglas obligatorias

El investigador deberá:

1. actuar de buena fe, de forma responsable y dentro del alcance;

2. evitar la degradación, la indisponibilidad, DoS, DDoS, spam, ingeniería social, phishing y el acceso físico;

3. no acceder, copiar, alterar, eliminar, divulgar ni extraer datos reales más allá del mínimo necesario para demostrar la falla;

4. interrumpir la prueba y comunicarlo a METADAX cuando encuentre datos personales, credenciales, secretos o accesos de terceros;

5. no realizar pruebas sobre personas, empleados, clientes, proveedores o activos no incluidos;

6. no instalar mecanismos de persistencia, malware ni puertas traseras (backdoors);

7. no divulgar la vulnerabilidad antes de una coordinación razonable con METADAX; y

8. eliminar o devolver las evidencias y los datos recibidos cuando se le solicite, salvo lo necesario como prueba o por obligación legal.

10.3 Contenido del reporte

El reporte debe incluir título, descripción, activo, pasos de reproducción, impacto, evidencias mínimas, clasificación de severidad sugerida, fecha y un contacto seguro. El investigador no debe incluir datos personales ni secretos innecesarios.

METADAX podrá solicitar información adicional, confirmar la recepción, clasificar la severidad, informar la corrección o decidir no corregir cuando la falla esté fuera del alcance, sea duplicada, no reproducible, de bajo impacto o incompatible con el servicio.

10.4 Safe harbor limitado

En la medida permitida por la legislación, METADAX no buscará responsabilizar al investigador que actúe de buena fe, dentro del alcance, con los métodos autorizados y de conformidad con esta Política.

Esta protección se limita a las actividades descritas y no:

• autoriza el acceso a activos de terceros;

• autoriza el tratamiento, la copia o la divulgación de datos más allá de lo necesario;

• concede inmunidad penal, civil, administrativa o contractual frente a terceros;

• impide las medidas necesarias para contener un riesgo inmediato; ni

• sustituye la autorización del cliente, proveedor, titular, autoridad o propietario del activo.

METADAX no puede prometer, en un documento privado, que cualquier actividad será considerada automáticamente autorizada por todas las autoridades, titulares o terceros.

10.5 Recompensas

Salvo anuncio por escrito de una campaña, un valor y unos criterios, METADAX no garantiza pago, recompensa, reconocimiento ni contratación como consecuencia de un reporte.

Si hay recompensa, se publicarán los requisitos de elegibilidad, severidad, duplicidad, pago, tributación, identificación y la eventual exención de responsabilidad.

11. Tratamiento de datos de investigadores y comunicantes

METADAX tratará los datos proporcionados en el reporte para recibir, validar, investigar, corregir, comunicar y documentar la vulnerabilidad, además de proteger derechos y cumplir obligaciones. El investigador debe evitar enviar datos personales innecesarios.

El reporte podrá compartirse con equipos técnicos, proveedores de seguridad, clientes afectados o autoridades cuando sea necesario y esté permitido.

METADAX podrá utilizar el correo electrónico y los datos de contacto para responder al reporte, no con fines de marketing, salvo otra base legal y autorización.

12. Comunicación de vulnerabilidades

La divulgación pública se coordinará según el impacto, la corrección, la explotación activa, la necesidad de notificar a los usuarios, la disponibilidad de mitigación y los intereses de seguridad. METADAX podrá solicitar un plazo razonable para corregir la falla y preparar la comunicación.

El investigador no deberá publicar datos personales, credenciales, secretos, pruebas destructivas ni instrucciones que faciliten la explotación antes de coordinar con METADAX. METADAX podrá publicar un agradecimiento con nombre o seudónimo solo con la autorización del investigador.

13. Auditoría, evidencias y cooperación

METADAX podrá mantener registros de accesos, cambios, incidentes, riesgos, capacitaciones, solicitudes y decisiones de seguridad durante el tiempo necesario para la seguridad, la auditoría, el contrato, la defensa de derechos y las obligaciones legales.

Los clientes B2B que necesiten auditoría, evidencia de controles, cuestionario de seguridad o pruebas independientes deben prever en el contrato o anexo de seguridad el alcance, el costo, la frecuencia, la confidencialidad, el acceso, el entorno, el aviso, la no interrupción y la protección de otros clientes.

14. Continuidad y recuperación

METADAX mantendrá procedimientos proporcionales para responder a indisponibilidades y recuperar los servicios según la naturaleza de la operación. Las pruebas, la redundancia, el RTO y el RPO solo se prometerán cuando estén definidos para el servicio específico.

La continuidad puede verse afectada por dependencias del Cliente, plataformas, API, proveedores de nube, registradores, instituciones financieras, internet, energía, terceros, fuerza mayor o cambios del mercado. METADAX informará las limitaciones relevantes cuando las conozca.

15. Excepciones y revisión

Las excepciones a esta Política deben estar justificadas, aprobadas por un responsable competente y tener plazo, alcance y medidas compensatorias cuando corresponda. La Política se revisará periódicamente o cuando haya un cambio relevante en servicios, riesgos, incidentes, proveedores, legislación o normativa.

16. Canales

• Seguridad y vulnerabilidades: [email protected]

• Privacidad y derechos: [email protected]

• Encargado de protección de datos (DPO): [email protected]

• Incidentes contractuales: canal previsto en la propuesta, el contrato o el SLA.

No envíe credenciales, claves privadas, datos de salud, datos personales sensibles ni información confidencial por formulario o correo electrónico sin orientación de METADAX.

17. Relación con otros documentos

Esta Política debe leerse junto con:

• el Aviso de Privacidad, Cookies y Comunicaciones;

• los Términos Generales de Uso y Contratación;

• contratos, propuestas, órdenes de servicio, DPA, anexos de seguridad y SLA específicos;

• las reglas del Reporte Responsable de Vulnerabilidades; y

• los procedimientos internos de seguridad y respuesta a incidentes.

En caso de conflicto, prevalece la legislación imperativa. El contrato o anexo específico prevalece para las obligaciones técnicas y los niveles de servicio negociados expresamente, sin reducir los derechos legales de los titulares o consumidores.

18. Referencias

1. Resolución CD/ANPD n.º 15/2024 — Reglamento de Comunicación de Incidentes de Seguridad.

2. Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales (LGPD).

3. Resolución CD/ANPD n.º 2/2022 — agentes de tratamiento de pequeño porte.

4. Guía de la ANPD sobre seguridad de la información para agentes de tratamiento de pequeño porte.

5. Marco Civil de Internet de Brasil — Ley n.º 12.965/2014.