1. Introducción y Glosario

La protección de los datos personales tratados en el marco del Servicio prestado por E-goi constituye un objetivo central de la presente Política de Seguridad. E-goi adopta medidas técnicas y organizativas adecuadas para proteger los datos, los sistemas y la infraestructura tecnológica frente a la destrucción, pérdida, alteración, divulgación o acceso no autorizados, ya sea de forma accidental o ilícita, de conformidad con la legislación aplicable y las buenas prácticas del sector.

Los principales términos utilizados en este documento están definidos y explicados de forma detallada en el Glosario (adjunto a este contrato). Se recomienda su consulta para una mejor comprensión de los conceptos y definiciones aquí aplicados.

2. Alcance y Aplicación

Esta política se aplica a:

• Infraestructura tecnológica utilizada para operar el Servicio E-goi.

• Datos personales y comerciales almacenados, procesados o transmitidos por el Servicio.

• Colaboradores, socios y proveedores.
  

3. Principios de Seguridad

E-goi adopta los siguientes principios de seguridad:

• Confidencialidad: Garantizar que los datos son accesibles solo por individuos autorizados.

• Integridad: Proteger los datos contra alteraciones no autorizadas.

• Disponibilidad: Asegurar que el Servicio está disponible de forma continua para el Cliente.
  

4. Protección de Datos Personales

E-goi trata los datos personales de conformidad con el Reglamento General de Protección de Datos (RGPD), la legislación nacional aplicable, el Acuerdo de Tratamiento de Datos Personales (adjunto al presente Contrato) y, en la medida en que resulte aplicable a los tratamientos realizados y a los riesgos identificados, con la Directriz/2023/1 de la Comisión Nacional de Protección de Datos (CNPD), relativa a las medidas organizativas y de seguridad aplicables al tratamiento de datos personales.

5. Seguridad de la Infraestructura y Aplicación

E-goi adopta un enfoque proactivo para proteger la infraestructura y aplicación del Servicio y Sitio de E-goi:

5.1. Infraestructura

• Centros de datos seguros: Los servidores de E-goi están ubicados en un centro de datos en Portugal (Unión Europea), gestionado por IPT (Infraestructuras de Portugal), con certificaciones de seguridad reconocidas, como ISO/IEC 27001 e ISO9001.

• Redundancia y “backups”: E-goi implementa redundancia y “backups” regulares (“on-site” y “off-site”) para asegurar la continuidad del Servicio y la recuperación de desastres.

5.2. Aplicación

• Desarrollo seguro: E-goi utiliza prácticas de desarrollo seguro (OWASP, SSDLC) para minimizar vulnerabilidades.

• Pruebas regulares: E-goi realiza pruebas de penetración y auditorías de seguridad de forma periódica.

• Programa de Bug Bounty: E-goi mantiene un programa público de Bug Bounty que incentiva la divulgación responsable de vulnerabilidades y potenciales preocupaciones de seguridad, promoviendo la colaboración con la comunidad para mejorar continuamente la seguridad de los sistemas de E-goi.

• Encriptación:

• Datos en tránsito: E-goi proporciona encriptación SSL/TLS (TLS 1.2 o superior) para proteger todo el tráfico entre los Clientes y sus servidores, garantizando la confidencialidad e integridad en las comunicaciones.

• Datos en reposo: Datos sensibles son protegidos por algoritmos de hashing como SHA-512 con sal. Para encriptación total, E-goi ofrece el servicio de encriptación del “file system” en servidores dedicados con encriptación vía LUKS, utilizando estándares avanzados como AES-256 para garantizar máxima seguridad.

  
  

  6. Accesos e Identidades

  
  

• Autenticación fuerte: Todos los accesos al Servicio E-goi tienen posibilidad de autenticación multifactor (MFA).

• Segregación de permisos: Las funcionalidades de permisos en el Servicio E-goi le dan al Cliente la posibilidad de implementar el principio de menor privilegio (“least privilege”) para las personas a quienes se les conceda acceso, asegurando que cada acceso se realice solo a las áreas necesarias del Servicio.

• Desactivación de accesos: El Servicio deja de ser disponible a Clientes inactivos o que no cumplan los Términos de Uso (adjunto a este Contrato). 
  

  
  

  7. Resiliencia y Recuperación de Desastres

  
  

• Planes de contingencia: E-goi mantiene y prueba regularmente planes de recuperación de desastres (DRP) y continuidad de negocios (BCP).

• RPO/RTO: E-goi asegura tiempos de recuperación (RTO) y pérdida máxima de datos (RPO) en línea con los SLA contractuales con el Cliente.
  

  
  

  8. Monitoreo y Respuesta a Incidentes

  
  

• Monitoreo continuo: E-goi utiliza sistemas de detección y prevención de intrusiones (IDS/IPS) y herramientas de monitoreo en tiempo real.

• Gestión de incidentes: E-goi dispone de un destacamento dedicado a responder rápidamente a incidentes de seguridad, notificando al Cliente conforme sea necesario y de acuerdo con la legislación.

• Informes de vulnerabilidades y fugas: De acuerdo con las obligaciones de E-goi en conformidad con el RGPD, CNPD y otras entidades regulatorias, E-goi proporciona informes detallados sobre la respuesta a incidentes y vulnerabilidades de seguridad. Si se aplica, o si hay acuerdo previo con el Cliente, estos informes también se proporcionan al Cliente.
  

9. Responsabilidades en Respuesta a Incidentes de Seguridad

Se considera "incidente de seguridad" cualquier evento o conjunto de eventos inesperados que comprometan o tengan el potencial de comprometer la confidencialidad, integridad, disponibilidad o autenticidad de los datos o del Servicio proporcionado por E-goi.

Esto incluye, pero no se limita a:

• Accesos no autorizados: Intentos exitosos de acceso a datos o sistemas sin la debida autorización.

• Divulgación de datos: Exposición accidental o no autorizada de información confidencial o personal.

• Ataques cibernéticos: Acciones como “phishing”, “malware”, “ransomware”, DDoS o explotación de vulnerabilidades en los sistemas.

• Pérdida o corrupción de datos: Resultantes de fallas técnicas, errores humanos o actos maliciosos.

• Interrupciones del Servicio: Cualesquiera eventos que impidan la operación normal del Servicio proporcionado o utilizado.

• Violaciones de políticas de seguridad: No conformidad con prácticas o reglas establecidas para proteger los datos y el Servicio.

La identificación y gestión de incidentes de seguridad serán tratadas de acuerdo con los procedimientos descritos en esta cláusula, asegurando una respuesta coordinada y eficaz entre las partes.

• Responsabilidad del Cliente:
  El Cliente se compromete a:

• Implementar y mantener medidas técnicas y organizacionales adecuadas para proteger los datos procesados a través del uso del Servicio E-goi.

• Notificar inmediatamente a E-goi sobre cualesquiera incidentes de seguridad que puedan afectar la confidencialidad, integridad o disponibilidad de los datos en el Servicio.

• Proporcionar información relevante y colaborar activamente en la investigación y mitigación de los impactos del incidente.

• Responsabilidad de E-goi:
  E-goi se compromete a:

• Notificar al Cliente sobre cualesquiera incidentes de seguridad identificados que puedan afectar sus datos o el Servicio.

• Proporcionar información detallada sobre la situación y colaborar para la contención y resolución del incidente.

• Designar un equipo de soporte dedicado para lidiar con incidentes críticos y prestar el apoyo necesario al Cliente.

• Respuesta a Incidentes:
  Ambas partes deben actuar de forma coordinada para investigar, contener, mitigar y corregir los impactos de incidentes de seguridad, asegurando la protección de los datos y la continuidad del Servicio.

• Comunicación:
  Las partes se comprometen a mantener una comunicación clara, ágil y eficiente durante todo el proceso de respuesta a incidentes, utilizando comunicaciones por email, SMS u otros canales previamente acordados.

• Colaboración y Mitigación de Riesgos:
  Ambas partes acuerdan colaborar proactivamente para:

• Minimizar los riesgos derivados de incidentes de seguridad.

• Implementar mejoras continuas en los procesos y medidas de seguridad para evitar ocurrencias futuras.
  

10. Educación y Concienciación

Todos los colaboradores de E-goi reciben formación continua sobre:

• Buenas prácticas de seguridad de la información.

• Cumplimiento con el RGPD y otras regulaciones aplicables.

• Políticas internas de uso de sistemas y datos.
  

11. Política de Anti-Spam y Comunicación Segura

E-goi aplica rigurosamente su Política de Uso Aceptable (adjunto a este Contrato), asegurando que:

• El envío de mensajes a través del Servicio respeta las leyes aplicables.

• Todos los Contactos utilizados por el Cliente han dado su consentimiento explícito para comunicación.

• Las cancelaciones de suscripción por parte de Contactos son procesadas de forma inmediata y automática.

• Una respuesta activa a quejas de spam o abuso que provengan de terceros (ESP, Contactos)

12. Revisiones y Actualizaciones

E-goi puede cambiar esta Política en cualquier momento, publicando la versión más reciente en el Sitio de E-goi. E-goi notificará al Cliente por RSS sobre cualquier cambio a esta Política con la mayor brevedad posible. El Cliente tendrá la posibilidad, en caso de objeción, de rescindir el Contrato dentro del plazo de treinta (30) días después de dicha notificación. A menos que el Cliente cierre el Servicio, la nueva Política entrará en vigor inmediatamente después de la fecha de publicación indicada en la nueva Política, según corresponda, y será aplicada con la continuidad o nuevo uso del Servicio.

La Política de Seguridad de E-goi es revisada regularmente para reflejar:

• Cambios en la legislación aplicable.

• Nuevos requisitos técnicos u operativos.

• Evolución de amenazas y vulnerabilidades.

13. Contacto

Para dudas o cuestiones sobre esta Política, el Cliente puede contactar a E-goi a través de:

• https://www.e-goi.com/es/contacte-con-nosotros/

• Área de Ayuda de la plataforma E-goi

• Email DPO (Privacidad de Datos): dpo@e-goi.com

• Email CISO (Seguridad de Información): ciso@e-goi.com

• Otras cuestiones relativas a la Política de Seguridad:  privacy@e-goi.com