Política de Seguridad de la Información

1. Cifrado

• Todo el tráfico entre el navegador y la plataforma viaja cifrado por HTTPS, en todos los dominios del servicio.
• Las credenciales de acceso se almacenan con funciones de derivación de clave, nunca en texto plano.
• Los certificados digitales para facturación electrónica se guardan cifrados en el servidor de emisión.

2. Control de acceso

• Cada empresa cliente opera en su propio espacio lógico. La base de datos aplica reglas de aislamiento que impiden que un usuario acceda a información de otra empresa.
• Los permisos se conceden por permiso concreto y no por el nombre del cargo: lo que un usuario puede hacer se valida en el servidor, no solo en la interfaz.
• El administrador del Cliente gestiona altas y bajas de sus usuarios.
• El acceso administrativo de REDMACH a los servidores se realiza mediante claves criptográficas dedicadas, no con contraseñas.

3. Registro de actividad

Las operaciones sensibles —cambios de precio, anulaciones, movimientos de caja, transferencias de inventario y accesos a planilla— quedan registradas en una bitácora de auditoría inmutable: se puede consultar y no se puede alterar ni borrar desde la aplicación.

4. El certificado digital no pasa por nosotros

Merece un apartado propio porque es el punto donde más se peca en el sector. El certificado digital con el que el Cliente firma sus comprobantes ante SUNAT lo carga su propio administrador desde la aplicación, y el RUC lo determina el servidor a partir de la sesión, no el formulario. Nadie de REDMACH necesita recibirlo por correo ni por mensajería, y no lo pedimos nunca. Si alguien lo hace en nuestro nombre, no somos nosotros.

5. Copias de seguridad

Replicación continua de la base de datos de facturación hacia almacenamiento externo, con una pérdida máxima del orden de un segundo; copia local diaria; y una prueba de restauración semanal automatizada que no solo comprueba que el archivo existe, sino que verifica su integridad y el recuento de registros. Una copia que no se ha probado no es una copia.

6. Personal

El equipo con acceso a sistemas de clientes está sujeto a deber de confidencialidad. El acceso se concede según la necesidad del trabajo y se retira al terminar la asignación.

7. Gestión de incidentes

Ante un incidente de seguridad: contención, evaluación del alcance, notificación al Cliente afectado dentro de las 48 horas desde que tomamos conocimiento, recuperación y registro de las medidas adoptadas para que no se repita. El detalle contractual está en el Acuerdo de Encargo de Tratamiento.

8. Desarrollo

El código se versiona en repositorios privados. Los cambios se prueban antes de desplegarse, y las credenciales de producción no viven en el código: se inyectan como variables de entorno del servidor.

9. Limitaciones conocidas

• Sin conmutación automática. El servidor de facturación electrónica es hoy un único nodo. Está respaldado y monitorizado, pero la recuperación ante su fallo es manual. Es la razón por la que el SLA compromete 99,0 % y no una cifra mayor.
• Sin certificación externa. REDMACH no cuenta con certificaciones de tipo ISO 27001 ni SOC 2. Las medidas descritas son reales y verificables, pero no han sido auditadas por un tercero independiente.
• Sin doble factor obligatorio. La autenticación en dos pasos no está impuesta para todos los usuarios de la plataforma.

Estas limitaciones están en nuestro plan de trabajo. Cuando cambien, cambiará esta página y lo comunicaremos a los clientes con contrato vigente.

10. Reportar una vulnerabilidad

Si encuentras un problema de seguridad, escríbenos a operaciones@redmach.net antes de divulgarlo. Responderemos y trabajaremos contigo para corregirlo. Agradecemos el aviso responsable.