Estandares de Seguridad

En Viuzi, la seguridad de nuestros usuarios es una prioridad fundamental. Viuzi es un mercado de servicios B2B diseñado para conectar a proveedores de servicios (profesionales, técnicos y empresas) con solicitantes de servicios (negocios e instalaciones) para servicios de mantenimiento y profesionales. La plataforma está destinada a ser utilizada por personas jurídicas y profesionales en el ejercicio de su actividad comercial. Entendemos la importancia de mantener un entorno seguro y confiable para todas las partes involucradas.

Nos comprometemos a implementar y mantener estándares de seguridad rigurosos que protejan a nuestros usuarios, sus datos y la integridad de cada transacción realizada a través de nuestra plataforma. Estos estándares se aplican a todos los participantes del ecosistema Viuzi, incluyendo proveedores de servicios, solicitantes de servicios y al equipo operativo de la plataforma.

Las obligaciones establecidas en las Secciones 2 a 4 del presente documento constituyen compromisos contractualmente vinculantes incorporados por referencia en los Términos de Servicio. Las recomendaciones y buenas prácticas de las Secciones 5 a 7 se proporcionan como guía orientativa y no generan obligaciones contractuales adicionales.

2.1 Revisión de Perfil y Verificación KYC

Todos los proveedores de servicios registrados en Viuzi están sujetos a un proceso de revisión de perfil llevado a cabo por los administradores de la plataforma. Este proceso incluye:

• Verificación de identidad (Know Your Customer - KYC) conforme a las regulaciones aplicables.
• Revisión de la información proporcionada en el perfil del proveedor, incluyendo datos personales, dirección y datos de contacto.
• Validación de la coherencia y veracidad de la información suministrada.

2.2 Verificación de Certificaciones Profesionales

Viuzi requiere que los proveedores de servicios acrediten sus cualificaciones profesionales cuando la naturaleza del servicio lo exija. Esto incluye:

• Presentación de certificaciones, licencias o títulos profesionales vigentes.
• Verificación de la autenticidad de las credenciales proporcionadas.
• Comprobación de que las certificaciones corresponden a los servicios ofrecidos por el proveedor.

Limitación de la Verificación. Viuzi realiza comprobaciones razonables de verificación, pero NO garantiza la integridad, exactitud, vigencia o validez continua de las cualificaciones, certificaciones, licencias o seguros de ningún Proveedor. Las verificaciones se basan en la documentación proporcionada por el propio Proveedor y pueden no detectar documentos falsificados, expirados o revocados. Los Usuarios deben ejercer su propia diligencia debida antes de contratar o permitir el acceso a sus instalaciones. Viuzi no sustituye a los organismos reguladores competentes en materia de habilitación profesional.

Verificación de Antecedentes Penales. Viuzi NO realiza verificaciones de antecedentes penales de los Proveedores de Servicios. La verificación se limita a la documentación profesional proporcionada voluntariamente por el Proveedor (certificaciones, seguros, documentos de empresa). Se recomienda a los Solicitantes solicitar referencias y realizar su propia diligencia debida adicional según consideren necesario.

2.3 Requisitos de Documentación de Seguros

Los proveedores de servicios deben presentar documentación que acredite la cobertura de seguros adecuada para los servicios que ofrecen. Esto incluye:

• Seguro de responsabilidad civil profesional.
• Seguro de accidentes laborales, cuando sea aplicable.
• Documentación vigente y verificable de las pólizas correspondientes.

Exclusión de Evaluación de Seguros. Viuzi NO evalúa la adecuación, suficiencia, ámbito geográfico ni los límites de cobertura de ninguna póliza de seguro. Los Usuarios son los únicos responsables de asegurarse de que su cobertura de seguros cumple con los requisitos de sus servicios específicos y jurisdicción. La verificación de la existencia de un documento de seguro no constituye una validación de su contenido ni de su vigencia.

Nota importante para Solicitantes: Los Solicitantes deben verificar independientemente que la cobertura del seguro del Proveedor es adecuada para el servicio contratado.

2.4 Verificación del Registro de Empresa

Para proveedores que operan como empresas o personas jurídicas, Viuzi verifica:

• El registro legal de la empresa ante las autoridades competentes.
• El número de identificación fiscal o equivalente.
• La vigencia y buen estado del registro empresarial.

2.5 Monitoreo Continuo de Cumplimiento

La verificación de proveedores no es un proceso único. Viuzi realiza un monitoreo continuo que incluye:

• Revisiones periódicas de la documentación y certificaciones de los proveedores.
• Evaluación continua del desempeño a través del sistema de calificaciones y reseñas.
• Verificación de la vigencia de seguros y licencias profesionales.
• Respuesta inmediata a reportes de incumplimiento por parte de otros usuarios.

2.6 Seguridad y Salud en el Trabajo

Los Proveedores de Servicios son profesionales independientes, NO empleados de Viuzi ni de los Solicitantes. Cada Proveedor asume la plena responsabilidad del cumplimiento de la normativa de seguridad y salud en el trabajo conforme a la Directiva Marco 89/391/CEE y sus transposiciones nacionales, incluyendo: evaluación de riesgos, equipos de protección personal, formación en seguridad y protección de cualquier trabajador que empleen. Los Solicitantes que controlen las instalaciones donde se realizará el trabajo son responsables de las condiciones de seguridad del sitio, la divulgación de riesgos conocidos y el acceso seguro, conforme al artículo 6 de la Directiva 89/391/CEE.

3.1 Procesamiento Seguro de Pagos

Viuzi utiliza Stripe como procesador de pagos, el cual cumple con los estándares de seguridad más exigentes de la industria:

• Certificación PCI DSS Nivel 1: Stripe mantiene la certificación PCI DSS (Payment Card Industry Data Security Standard) de Nivel 1, el nivel más alto de certificación de seguridad en la industria de pagos.
• Los datos de tarjetas de crédito y métodos de pago nunca son almacenados en los servidores de Viuzi.
• Todas las transacciones se procesan a través de conexiones cifradas.
• Detección y prevención de fraude integrada en cada transacción.

3.2 Pagos Exclusivamente a Través de la Plataforma

Para garantizar la protección de ambas partes, todos los pagos por servicios contratados a través de Viuzi deben realizarse exclusivamente a través de la plataforma:

• Queda prohibida la realización de pagos fuera de la plataforma para servicios contratados en Viuzi.
• El sistema de pagos integrado proporciona un registro completo y verificable de todas las transacciones.
• En caso de disputas, los registros de pago de la plataforma sirven como evidencia documentada.

3.3 Sistema de Mensajería Seguro

La comunicación entre proveedores y solicitantes de servicios se realiza a través del sistema de mensajería integrado de Viuzi, el cual garantiza:

• Cifrado de las comunicaciones entre usuarios.
• Registro de conversaciones para referencia y resolución de disputas.
• Filtrado de contenido inapropiado o intentos de compartir información sensible.

3.4 Sistema de Reseñas y Calificaciones

Viuzi cuenta con un sistema de reseñas y calificaciones bidireccional que promueve la responsabilidad y la transparencia:

• Los solicitantes pueden calificar y evaluar a los proveedores tras la finalización de un servicio.
• Los proveedores pueden calificar a los solicitantes.
• Las reseñas son visibles públicamente y contribuyen a la reputación de cada usuario.
• Se implementan mecanismos para prevenir reseñas falsas o manipuladas.

3.5 Sistema de Reportes y Señalización

Los usuarios de Viuzi disponen de herramientas para reportar comportamientos inadecuados, problemas de seguridad o cualquier situación que requiera la atención del equipo de la plataforma:

• Posibilidad de reportar perfiles, mensajes o servicios inapropiados.
• Mecanismo de señalización de contenido o comportamiento sospechoso.
• Equipo dedicado a la revisión y gestión de reportes.
• Respuesta oportuna a todos los reportes recibidos.

4.1 Conducta Profesional Esperada

Todos los proveedores de servicios en Viuzi deben mantener un comportamiento profesional en todo momento, lo cual incluye:

• Trato respetuoso y cortés hacia los solicitantes y sus propiedades.
• Presentación personal adecuada al tipo de servicio prestado.
• Cumplimiento de las normas de conducta establecidas en el Código de Conducta de Viuzi.

4.2 Expectativas de Calidad del Trabajo

Los servicios prestados a través de Viuzi deben cumplir con estándares de calidad razonables:

• El trabajo realizado debe corresponder a la descripción y especificaciones acordadas.
• Los materiales utilizados deben ser de calidad adecuada y conforme a lo pactado.
• El resultado final debe ser funcional y cumplir con los códigos y normativas aplicables.

4.3 Estándares de Comunicación

La comunicación efectiva es esencial para la seguridad y la satisfacción del servicio:

• Los proveedores deben responder a los mensajes de manera oportuna.
• Cualquier cambio en el alcance, costo o cronograma del servicio debe comunicarse de inmediato.
• Los proveedores deben informar sobre cualquier riesgo o problema identificado durante la prestación del servicio.

4.4 Requisitos de Finalización Oportuna

Los proveedores de servicios deben cumplir con los plazos acordados:

• Los servicios deben completarse dentro del tiempo estimado y acordado.
• En caso de retrasos inevitables, el proveedor debe notificar al solicitante con la mayor antelación posible.
• Los retrasos recurrentes e injustificados pueden dar lugar a sanciones en la plataforma.

5.1 Para Solicitantes de Servicios

Los solicitantes de servicios deben tomar las siguientes precauciones para garantizar su seguridad:

• Verificar la identidad del proveedor: Antes de permitir el acceso a sus instalaciones, confirme la identidad del proveedor asignado a través de la información disponible en la plataforma.
• Descripciones claras del trabajo: Proporcione descripciones detalladas y precisas del trabajo a realizar, incluyendo el alcance, las expectativas y cualquier condición especial.
• Entornos de trabajo seguros: Asegúrese de que el área donde se realizará el servicio sea segura y accesible. Informe al proveedor sobre cualquier riesgo potencial (materiales peligrosos, condiciones estructurales, presencia de mascotas, etc.).
• Presencia o delegación: Cuando sea posible, esté presente durante la realización del servicio o designe a una persona de confianza para supervisar el trabajo.
• Documentación: Tome fotografías del estado previo y posterior al servicio para tener un registro documentado.
• Condiciones de seguridad del sitio: Los Solicitantes que controlen las instalaciones de trabajo son responsables de las condiciones de seguridad del sitio, incluyendo la divulgación de peligros, el acceso seguro y el cumplimiento de las normativas locales de salud y seguridad. El Proveedor es responsable de evaluar las condiciones del sitio antes de iniciar los trabajos.

5.2 Para Proveedores de Servicios

Los proveedores de servicios deben seguir estas directrices de seguridad:

• Equipo profesional: Utilice herramientas y equipos profesionales adecuados para el tipo de servicio a prestar. Mantenga su equipo en buen estado y conforme a las normas de seguridad.
• Cobertura de seguros: Mantenga vigente una póliza de seguro de responsabilidad civil profesional que cubra los servicios que ofrece a través de la plataforma.
• Protocolos de seguridad: Siga los protocolos de seguridad establecidos para su industria o especialidad, incluyendo el uso de equipos de protección personal (EPP) cuando sea necesario.
• Evaluación del sitio: Antes de iniciar cualquier trabajo, realice una evaluación del lugar para identificar posibles riesgos o condiciones inseguras.
• Comunicación de riesgos: Si identifica condiciones inseguras o riesgos que impidan la realización del servicio, comuníquelo inmediatamente al solicitante y, si es necesario, al equipo de soporte de Viuzi.

Herramientas y Equipos. Viuzi no asume responsabilidad alguna por defectos, fallos o daños derivados de herramientas, equipos o materiales proporcionados por los Proveedores. Los Proveedores son los únicos responsables de la seguridad, idoneidad y mantenimiento de su equipo, conforme a la Directiva 85/374/CEE sobre responsabilidad por productos defectuosos.

6.1 Cómo Reportar Problemas de Seguridad

Los usuarios pueden reportar problemas de seguridad a través de los siguientes canales:

• Dentro de la plataforma: Utilice la función de reporte disponible en la aplicación para señalar problemas de seguridad relacionados con un servicio, un proveedor o un solicitante específico.
• Correo electrónico: Envíe un correo a safety@viuzi.com con una descripción detallada del incidente, incluyendo fechas, usuarios involucrados y cualquier evidencia disponible.
• Soporte al cliente: Contacte a nuestro equipo de soporte a través de hello@atbion.com para asistencia inmediata.

6.2 Respuesta de la Plataforma a los Reportes de Seguridad

Al recibir un reporte de seguridad, Viuzi se compromete a:

• Acusar recibo del reporte en un plazo máximo de 24 horas.
• Iniciar una investigación interna del incidente reportado.
• Tomar medidas cautelares inmediatas cuando la seguridad de un usuario esté en riesgo (incluyendo la suspensión temporal de cuentas).
• Informar a las partes involucradas sobre el resultado de la investigación.
• Implementar medidas correctivas para prevenir la recurrencia del incidente.

6.3 Procedimientos de Escalamiento

En caso de que un problema de seguridad no sea resuelto satisfactoriamente a través de los canales regulares, Viuzi cuenta con un procedimiento de escalamiento que incluye:

• Nivel 1: Revisión por el equipo de soporte al cliente.
• Nivel 2: Escalamiento al equipo de seguridad y cumplimiento de la plataforma.
• Nivel 3: Revisión por la dirección de Atbion OÜ.
• Autoridades competentes: En casos que involucren actividades ilegales, amenazas a la seguridad personal o situaciones de emergencia, Viuzi cooperará plenamente con las autoridades competentes y recomienda a los usuarios contactar a los servicios de emergencia de manera inmediata.

6.4 Clasificación de Incidentes y SLAs de Respuesta

Los incidentes de seguridad se clasifican según su impacto y urgencia conforme a la siguiente tabla:

6.5 Definición de Incidente Significativo NIS2

Conforme al Artículo 23 de la Directiva NIS2 (UE) 2022/2555, un incidente se considera significativo cuando cumple al menos uno de los siguientes criterios:

• Ha causado o puede causar una perturbación operativa grave de los servicios de Viuzi o pérdidas financieras significativas para Atbion OÜ.
• Ha afectado o puede afectar a otras personas físicas o jurídicas causando daños materiales o inmateriales considerables.
• Ha comprometido datos personales de un número relevante de usuarios (umbral: más de 500 usuarios afectados o datos de categorías especiales).
• Ha implicado acceso no autorizado a sistemas críticos de infraestructura (bases de datos de producción, sistemas de pagos, autenticación).
• Ha generado o puede generar cobertura mediática significativa o daño reputacional.

7.1 Requisitos de Seguros para Proveedores

Viuzi requiere que los proveedores de servicios mantengan coberturas de seguro adecuadas:

• Seguro de responsabilidad civil profesional que cubra los servicios ofrecidos.
• Seguro de accidentes laborales para proveedores con empleados.
• La documentación de seguros debe estar vigente y disponible para verificación.

7.2 Función de Viuzi como Intermediario

Viuzi actúa como una plataforma intermediaria que facilita la conexión entre proveedores y solicitantes de servicios. En este sentido:

• Viuzi no es parte del contrato de servicios entre el proveedor y el solicitante.
• Viuzi no garantiza la calidad, seguridad o resultado de los servicios prestados por los proveedores.
• La responsabilidad por la correcta ejecución del servicio recae en el proveedor de servicios.
• La responsabilidad por la descripción precisa del trabajo y las condiciones del sitio recae en el solicitante.
• Viuzi se compromete a facilitar la resolución de disputas entre las partes, pero no asume responsabilidad por los daños derivados de la prestación de servicios.

7.3 Recomendación de Cobertura de Seguros Adecuada

Viuzi recomienda encarecidamente a todos los usuarios:

• Proveedores: Contratar y mantener un seguro de responsabilidad civil profesional con cobertura suficiente para los tipos de servicios que ofrecen. La cobertura debe incluir daños a la propiedad de terceros, lesiones personales y errores u omisiones profesionales.
• Solicitantes: Verificar que sus propias pólizas de seguros (seguro de propiedad, seguro de negocio) cubran la presencia de contratistas externos en sus instalaciones.

8.1 Cifrado TLS para Todas las Comunicaciones

Todas las comunicaciones entre los dispositivos de los usuarios y los servidores de Viuzi están protegidas mediante cifrado TLS (Transport Layer Security):

• TLS 1.3 como protocolo preferente, con TLS 1.2 como mínimo aceptable. Las conexiones con versiones anteriores son rechazadas automáticamente.
• HSTS (HTTP Strict Transport Security) habilitado con un valor de max-age mínimo de un año (31.536.000 segundos), incluyendo subdominios.
• Perfect Forward Secrecy (PFS) obligatorio mediante suites de cifrado basadas en intercambio de claves efímero (ECDHE).
• Los certificados TLS se renuevan y verifican de manera regular mediante procedimientos automatizados.
• Las conexiones no cifradas son rechazadas automáticamente y redirigidas a HTTPS.

8.2 Almacenamiento Cifrado de Datos

Los datos almacenados en los sistemas de Viuzi están protegidos mediante cifrado:

• AES-256 para cifrado en reposo de todos los almacenes de datos: MongoDB Atlas, Amazon S3, ElastiCache Redis y copias de seguridad.
• Gestión de claves mediante AWS KMS (Key Management Service), con rotación automática de claves habilitada.
• Las credenciales de acceso se almacenan utilizando algoritmos de hash robustos con sal (salting) y factor de coste apropiado conforme a los estándares de la industria.
• Los datos de pago son gestionados exclusivamente por Stripe y nunca se almacenan en los servidores de Viuzi.

8.3 Auditorías de Seguridad Regulares

Viuzi realiza auditorías de seguridad de manera periódica para garantizar la integridad de sus sistemas:

• Auditoría interna con frecuencia mínima anual, que incluye revisión de controles, accesos y configuraciones de seguridad.
• Pruebas de penetración externas anuales realizadas por un proveedor independiente con certificación reconocida (CREST, OSCP o equivalente). Los resultados se tratan como confidenciales y están disponibles bajo NDA para clientes que lo requieran.
• Revisión y actualización continua de las políticas y procedimientos de seguridad.
• Monitoreo continuo de la infraestructura para detectar y responder a amenazas.

8.4 Cumplimiento de la Directiva NIS2 (UE) 2022/2555

Atbion OÜ evalúa periódicamente su posición respecto a la Directiva (UE) 2022/2555 sobre medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión (Directiva NIS2). Atbion OÜ, como proveedor de servicios de mercado en línea (marketplace), se clasifica como "entidad importante" conforme al Anexo II, Sector 8 de la Directiva NIS2 (UE) 2022/2555. En consecuencia, Atbion OÜ cumple con las obligaciones de los artículos 21 (medidas de gestión de riesgos de ciberseguridad) y 23 (notificación de incidentes). Atbion OÜ implementa las siguientes medidas alineadas con los requisitos de la Directiva NIS2:

Las medidas de gestión de riesgos incluyen: políticas de divulgación y manejo de vulnerabilidades, controles criptográficos (TLS 1.3 preferente / TLS 1.2 mínimo, AES-256), y seguridad de la cadena de suministro (evaluación de subencargados).

• Gestión de riesgos de ciberseguridad: Evaluaciones periódicas de riesgos de los sistemas de información críticos, siguiendo la metodología ISO 27005 (véase Sección 8.9).
• Gestión de incidentes: Procedimientos documentados para la detección, respuesta, mitigación y notificación de incidentes de ciberseguridad.
• Continuidad del negocio: Planes de contingencia y recuperación ante desastres para los servicios críticos de la plataforma (véase Sección 8.10). Referencia: NIS2 Art. 21(2)(c).
• Seguridad de la cadena de suministro: Evaluación de la seguridad de los proveedores de servicios tecnológicos (AWS, MongoDB, Stripe). Véase Sección 8.12.
• Notificación de incidentes significativos: En caso de incidente significativo conforme al Artículo 23 de la Directiva NIS2, Atbion seguirá el proceso de notificación en tres etapas: (a) Alerta temprana (early warning): dentro de las 24 horas siguientes al conocimiento de un incidente significativo, a la RIA (Riigi Infosüsteemi Amet); (b) Notificación del incidente: dentro de las 72 horas, con evaluación inicial del impacto y gravedad; (c) Informe final: dentro de un (1) mes desde la notificación del incidente, con descripción detallada, causa raíz, medidas aplicadas y consecuencias transfronterizas.
• Logs de auditoría inmutables para acciones críticas (pagos, cambios de contrato, acceso a datos sensibles), con retención mínima de 12 meses conforme a NIS2 Art. 21.

Esta evaluación se revisa anualmente y cuando se produzcan cambios significativos en el volumen de operaciones.

Firewall de Aplicaciones Web (WAF). La Plataforma utiliza AWS WAF (Web Application Firewall) como capa de protección perimetral contra ataques web comunes, incluyendo: inyección SQL, Cross-Site Scripting (XSS), inclusión de archivos remotos, y solicitudes malformadas. Las reglas del WAF se actualizan periódicamente conforme a las amenazas identificadas y las mejores prácticas de OWASP Top 10.

Mitigación de Ataques DDoS. La infraestructura de la Plataforma incorpora AWS Shield Standard como protección base contra ataques de denegación de servicio distribuido (DDoS) a nivel de red y transporte. Adicionalmente, la arquitectura de la Plataforma incluye rate limiting a nivel de aplicación (30 solicitudes por ventana de 5 minutos por usuario) y mecanismos de escalado automático para absorber picos de tráfico legítimo.

8.5 Plan de Respuesta a Incidentes de Seguridad

Atbion OÜ mantiene un Plan de Respuesta a Incidentes de Seguridad documentado que incluye:

• Fase 1 - Detección: Monitoreo continuo de la infraestructura mediante herramientas de registro y alertas automatizadas.
• Fase 2 - Contención: Aislamiento inmediato de los sistemas afectados para limitar el impacto del incidente.
• Fase 3 - Erradicación: Identificación y eliminación de la causa raíz del incidente.
• Fase 4 - Recuperación: Restauración de los servicios afectados a su estado operativo normal.
• Fase 5 - Lecciones aprendidas: Análisis post-incidente y actualización de las medidas de seguridad.

El Plan se prueba mediante ejercicios simulados al menos una vez al año. Los resultados y las mejoras implementadas se documentan y están disponibles para las autoridades de supervisión previa solicitud.

Equipo de respuesta a incidentes: Director de Tecnología (líder), Administrador de Sistemas, Responsable de Privacidad (privacy@viuzi.com). Plan de comunicación: los usuarios afectados serán notificados por correo electrónico y notificación en la Plataforma dentro de las 72 horas siguientes a la confirmación del incidente.

8.6 Notificación de Brechas de Datos Personales (RGPD Arts. 33 y 34)

Cuando un incidente de seguridad involucre datos personales de los Usuarios, Atbion OÜ aplicará las obligaciones de notificación establecidas en el Reglamento General de Protección de Datos (RGPD), de forma integrada con el Plan de Respuesta a Incidentes de Seguridad descrito en la Sección 8.5.

8.6.1 Notificación a la Autoridad de Control (Art. 33 RGPD)

Atbion OÜ notificará a la Andmekaitse Inspektsioon (Autoridad de Protección de Datos de Estonia) dentro de las 72 horas siguientes al momento en que tenga conocimiento de una brecha de datos personales, salvo que sea improbable que dicha brecha suponga un riesgo para los derechos y libertades de las personas físicas afectadas. La notificación incluirá, como mínimo:

• La naturaleza de la brecha de datos personales, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados afectados, así como las categorías y el número aproximado de registros de datos personales afectados.
• El nombre y los datos de contacto del punto de contacto para obtener más información (privacy@viuzi.com).
• Una descripción de las consecuencias probables de la brecha de datos personales.
• Una descripción de las medidas adoptadas o propuestas para poner remedio a la brecha, incluyendo, en su caso, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no fuera posible facilitar toda la información simultáneamente, esta se proporcionará de forma gradual sin dilación indebida, conforme al Art. 33(4) del RGPD.

8.6.2 Comunicación a los Interesados Afectados (Art. 34 RGPD)

Cuando la brecha de datos personales suponga un alto riesgo para los derechos y libertades de las personas físicas afectadas, Atbion OÜ comunicará la brecha a los interesados afectados sin dilación indebida. La comunicación se realizará a través de los siguientes canales:

• Correo electrónico: Notificación individual a la dirección de correo electrónico registrada de cada interesado afectado.
• Notificación dentro de la aplicación: Notificación dentro de la plataforma Viuzi para asegurar la visibilidad inmediata.

La comunicación describirá en un lenguaje claro y sencillo la naturaleza de la brecha, las consecuencias probables, las medidas adoptadas y las recomendaciones para que los interesados protejan sus datos.

8.6.3 Integración con los Plazos de Notificación NIS2

Los plazos de notificación del RGPD se integran con los establecidos por la Directiva NIS2 (Sección 8.4) de la siguiente manera:

• Alerta temprana (24 horas): Notificación inicial a la RIA (Riigi Infosüsteemi Amet) conforme a NIS2.
• Notificación de incidente (72 horas): Notificación a la Andmekaitse Inspektsioon conforme al Art. 33 del RGPD y notificación detallada a la RIA conforme a NIS2.
• Informe final (1 mes): Informe completo a la RIA conforme a NIS2, incluyendo el análisis de causas raíz, el impacto y las medidas correctivas adoptadas.

Cuando un incidente afecte simultáneamente a la seguridad de los sistemas de información (NIS2) y a datos personales (RGPD), ambas notificaciones se realizarán de forma coordinada y dentro de los plazos más estrictos aplicables.

8.6.4 Registro de Brechas de Datos Personales (Art. 33(5) RGPD)

Atbion OÜ mantendrá un registro documentado de todas las brechas de datos personales, independientemente de si estas han sido notificadas a la autoridad de control o no. El registro incluirá los hechos relativos a la brecha, sus efectos y las medidas correctivas adoptadas. Este registro estará disponible para la Andmekaitse Inspektsioon previa solicitud.

8.6.5 Obligaciones de los Subencargados del Tratamiento

Todos los subencargados del tratamiento de Atbion OÜ (incluyendo, entre otros, AWS, MongoDB y Stripe) están obligados contractualmente a notificar a Atbion dentro de las 24 horas siguientes a la detección de cualquier brecha de datos personales potencial o confirmada que afecte a datos tratados en nombre de Atbion. Esta obligación se establece en los acuerdos de tratamiento de datos (Data Processing Agreements) suscritos con cada subencargado.

8.7 Manejo de Datos Conforme al RGPD

Viuzi cumple con el Reglamento General de Protección de Datos (RGPD) de la Unión Europea:

• Los datos personales se recopilan y procesan únicamente con base legal adecuada.
• Los usuarios tienen derecho de acceso, rectificación, eliminación y portabilidad de sus datos.
• Se implementan medidas técnicas y organizativas para proteger los datos personales.
• Las transferencias internacionales de datos se realizan mediante Cláusulas Contractuales Tipo (CCT) conforme a la Decisión de Ejecución (UE) 2021/914, complementadas con el Marco de Privacidad UE-EE.UU. donde aplique, conforme a los mecanismos legales establecidos por el RGPD.
• Se mantiene un registro de actividades de tratamiento conforme al Artículo 30 del RGPD.
• Se aplica el principio de Privacy by Design (Art. 25 RGPD) en el desarrollo de nuevas funcionalidades, garantizando que la protección de datos se integre desde el diseño y por defecto.
• Se realizan Evaluaciones de Impacto relativas a la Protección de Datos (DPIA) conforme al Artículo 35 del RGPD para todos los tratamientos que puedan suponer un alto riesgo para los derechos y libertades de las personas físicas, incluyendo perfilado a gran escala, tratamiento de datos de categorías especiales y tratamientos con nuevas tecnologías.

Para más información sobre el tratamiento de datos personales, consulte nuestra Política de Privacidad disponible en la plataforma.

8.8 Control de Acceso y Autenticación

Viuzi implementa controles de acceso robustos basados en los principios de mínimo privilegio y defensa en profundidad:

Autenticación de usuarios:

• La autenticación de usuarios se realiza exclusivamente mediante Google OAuth 2.0, eliminando la gestión directa de contraseñas en la plataforma.
• Los tokens de acceso tienen una validez de 30 minutos; los tokens de refresco tienen una validez de 7 días.
• La revocación de sesiones es inmediata tras cambios de seguridad o solicitud del usuario.

Autenticación multifactor (MFA):

• El MFA es obligatorio para todo acceso administrativo interno a los sistemas de producción (consola AWS, MongoDB Atlas, panel de administración de Viuzi).
• Se utilizan aplicaciones de autenticación TOTP (Time-based One-Time Password) como método MFA preferente.

Control de acceso basado en roles (RBAC): Los roles de la plataforma están documentados y asignados conforme al principio de mínimo privilegio:

Principio de mínimo privilegio:

• Las políticas de AWS IAM siguen el principio de mínimo privilegio: cada servicio y rol recibe únicamente los permisos estrictamente necesarios para su función.
• Los roles de MongoDB Atlas están segmentados por entorno (producción, staging, desarrollo) y por función.
• El acceso a datos de producción está restringido al personal estrictamente necesario y se audita.

Política de revocación de acceso:

• El proceso de offboarding de empleados y contratistas incluye la revocación inmediata de todos los accesos (AWS IAM, MongoDB Atlas, repositorios de código, herramientas internas) en el día de la baja.
• Se revisan trimestralmente los permisos activos para detectar accesos obsoletos o innecesarios.

Gestión de secretos y API keys:

• Todas las claves de API de servicios de terceros (Stripe, servicios de correo, etc.) se almacenan en AWS Secrets Manager, nunca en código fuente ni variables de entorno sin cifrar.
• La rotación de secretos se automatiza donde el servicio lo permite.

8.9 Evaluaciones de Riesgo

Las evaluaciones de riesgo de ciberseguridad se realizan siguiendo la metodología ISO 27005, con frecuencia anual y tras cambios significativos en la infraestructura o en el modelo de negocio. Los riesgos se identifican, analizan y priorizan según su impacto potencial y probabilidad de ocurrencia, generando un registro de riesgos actualizado con planes de tratamiento asociados. Los resultados alimentan directamente la revisión de las medidas de seguridad implementadas y las inversiones en mejora continua.

El registro de riesgos está disponible para auditoría externa previa solicitud formal dirigida a security@viuzi.com, sujeto a la firma de un acuerdo de confidencialidad. Los resultados de las evaluaciones de riesgos anuales se comparten en formato resumido en los informes de transparencia de seguridad.

8.10 Continuidad del Negocio y Recuperación ante Desastres

Atbion OÜ mantiene una estrategia de continuidad del negocio y recuperación ante desastres alineada con los requisitos del Artículo 21(2)(c) de la Directiva NIS2:

Objetivos de recuperación:

• RTO (Recovery Time Objective): Objetivo de restauración de servicios críticos en menos de 4 horas tras un incidente grave.
• RPO (Recovery Point Objective): Objetivo de pérdida máxima de datos de 1 hora para los sistemas de producción.

Estrategia de copias de seguridad:

• Copias de seguridad diarias de todos los datos de producción (MongoDB Atlas, S3, configuraciones).
• Todas las copias de seguridad están cifradas con AES-256 y almacenadas en múltiples zonas de disponibilidad (Multi-AZ) en AWS.
• Retención de copias de seguridad: 90 días para backups diarios.
• Las copias de seguridad se replican automáticamente en una región AWS secundaria para garantizar la recuperación ante desastres regionales.
• La integridad de las copias de seguridad se verifica mensualmente mediante pruebas de restauración.

Arquitectura de alta disponibilidad:

• La infraestructura de producción en AWS está desplegada en configuración Multi-AZ (múltiples zonas de disponibilidad) para eliminar puntos únicos de fallo.
• MongoDB Atlas opera con conjuntos de réplicas (replica sets) con al menos tres nodos, garantizando failover automático.
• Los balanceadores de carga y los servicios críticos están configurados con redundancia automática.

Pruebas de recuperación ante desastres:

• Se realizan pruebas de DR semestrales que simulan escenarios de fallo completo de una zona de disponibilidad.
• Los resultados de las pruebas se documentan y los hallazgos se incorporan al plan de mejora.

Comunicación durante indisponibilidad:

• En caso de incidencia que afecte a la disponibilidad de la plataforma, Viuzi comunicará el estado a los usuarios mediante: (a) página de estado pública; (b) notificaciones por correo electrónico a los usuarios activos afectados; (c) actualizaciones en el canal oficial de comunicación de la plataforma.
• El objetivo es publicar una actualización inicial de estado dentro de los 30 minutos siguientes a la detección de la incidencia.

8.11 Gestión de Vulnerabilidades

Atbion OÜ implementa un programa formal de gestión de vulnerabilidades que incluye:

Identificación proactiva:

• Pruebas de penetración externas anuales realizadas por un proveedor certificado e independiente (certificación CREST, OSCP o equivalente).
• Escaneo automatizado mensual de vulnerabilidades en infraestructura y aplicaciones mediante herramientas especializadas.
• Análisis continuo de avisos de seguridad de proveedores (AWS, MongoDB, .NET, dependencias de terceros).

Programa de divulgación responsable:

• Viuzi dispone de un canal de divulgación responsable de vulnerabilidades en security@viuzi.com.
• Los investigadores de seguridad que reporten vulnerabilidades de buena fe recibirán confirmación de recepción en un plazo de 48 horas y serán informados del estado de la resolución.

Safe Harbor para Investigadores de Seguridad. Atbion se compromete a no emprender acciones legales contra investigadores de seguridad que: (a) descubran y reporten vulnerabilidades de buena fe conforme a este programa de divulgación responsable; (b) no accedan, modifiquen ni eliminen datos de otros usuarios; (c) no interrumpan la disponibilidad de la Plataforma; (d) no divulguen públicamente la vulnerabilidad antes de la resolución o del plazo acordado. Atbion reconocerá públicamente (con consentimiento del investigador) las contribuciones significativas a la seguridad de la Plataforma. El programa de recompensas por vulnerabilidades (bug bounty) está en fase de evaluación y su disponibilidad se comunicará en esta sección cuando se active.

SLAs de remediación por severidad CVSS:

8.12 Gestión de la Cadena de Suministro de TI

Atbion OÜ implementa un proceso formal de evaluación y gestión de la seguridad de su cadena de suministro de tecnología, conforme a los requisitos del Artículo 21(2)(d) de la Directiva NIS2:

Evaluación de nuevos proveedores:

• Todo nuevo proveedor tecnológico o subencargado del tratamiento es evaluado antes de su incorporación mediante un cuestionario de seguridad estandarizado que cubre: controles de acceso, cifrado, gestión de incidentes, continuidad del negocio y cumplimiento normativo.
• Se revisan las certificaciones de seguridad disponibles del proveedor (ISO 27001, SOC 2, PCI DSS u otras equivalentes).
• Los resultados de la evaluación son aprobados por el responsable de seguridad antes de la contratación.

Registro de sub-encargados:

• Atbion OÜ mantiene un registro actualizado de todos los subencargados del tratamiento que acceden a datos personales de usuarios de Viuzi.
• Todos los subencargados tienen suscritos Acuerdos de Tratamiento de Datos (DPAs) conforme al Art. 28 del RGPD.
• El registro de subencargados está disponible para los interesados que lo soliciten.

Revisión anual de proveedores críticos: Los siguientes proveedores críticos son revisados anualmente en cuanto a su postura de seguridad, actualizaciones de certificaciones y cambios en sus condiciones de servicio:

• AWS (Amazon Web Services): infraestructura cloud, almacenamiento, red y servicios gestionados.
• MongoDB Atlas: base de datos como servicio.
• Stripe: procesamiento de pagos y cumplimiento PCI DSS.

8.13 Seguridad en el Ciclo de Desarrollo de Software (SSDLC)

Atbion OÜ integra la seguridad en todas las fases del ciclo de desarrollo de software:

Revisión de código:

• Las revisiones de código (code reviews) son obligatorias para toda modificación que llegue a la rama principal de producción. Ningún cambio puede fusionarse sin aprobación de al menos un revisor diferente al autor.
• Las ramas principales (main, develop) están protegidas mediante políticas de rama en el sistema de control de versiones, impidiendo commits directos y reescritura del historial.

Herramientas automatizadas en CI/CD:

• SAST (Static Application Security Testing): análisis estático de código en cada pull request para detectar vulnerabilidades comunes (inyección, exposición de secretos, etc.).
• DAST (Dynamic Application Security Testing): pruebas de seguridad dinámicas sobre entornos de staging antes de cada despliegue a producción.
• SCA (Software Composition Analysis): análisis de dependencias de terceros para identificar componentes con vulnerabilidades conocidas (CVEs). Las dependencias con vulnerabilidades críticas bloquean el despliegue.

Gestión de secretos en el desarrollo:

• Los secretos y credenciales nunca se incluyen en el código fuente ni en los repositorios de control de versiones. Se utilizan variables de entorno gestionadas mediante AWS Secrets Manager.
• Los repositorios disponen de escaneo automático de secretos (secret scanning) habilitado.

8.14 Seguridad de la Aplicación Móvil

La aplicación móvil de Viuzi (iOS y Android) implementa las siguientes medidas de seguridad específicas para entornos móviles:

Protección de comunicaciones:

• Certificate pinning implementado para las comunicaciones con la API de Viuzi, previniendo ataques de tipo man-in-the-middle mediante certificados fraudulentos.

Almacenamiento seguro de credenciales:

• Los tokens de autenticación (access token y refresh token) se almacenan en el iOS Keychain (en dispositivos iOS) y en el Android Keystore (en dispositivos Android), nunca en almacenamiento sin cifrar (SharedPreferences sin cifrar, archivos planos).

Detección de entorno comprometido:

• La aplicación implementa detección de jailbreak (iOS) y detección de root (Android). En caso de detectar un entorno comprometido, la aplicación restringe el acceso y advierte al usuario del riesgo de seguridad.

Protección del código:

• Se aplica ofuscación de código en las compilaciones de producción para dificultar la ingeniería inversa y la extracción de lógica sensible de la aplicación.

En caso de emergencia durante la prestación de un servicio contratado a través de Viuzi, se deben seguir los siguientes procedimientos:

9.1 Emergencias que Amenazan la Vida o la Seguridad Personal

• Contacte inmediatamente a los servicios de emergencia llamando al 112 en la Unión Europea o el número de emergencias de su jurisdicción.
• Una vez que la situación inmediata esté controlada, notifique a Viuzi a través de safety@viuzi.com o del sistema de reportes de la plataforma.

Exclusión de Responsabilidad en Emergencias. Viuzi no asume responsabilidad por el resultado de ninguna situación de emergencia. Los Usuarios deben contactar directamente a los servicios de emergencia locales (112 en la UE). Los canales de reporte de incidentes de Viuzi NO sustituyen a los servicios de emergencia y no garantizan ningún tiempo de respuesta específico.

9.2 Incidentes de Seguridad en la Plataforma

En caso de detectar un incidente de seguridad informática (acceso no autorizado a cuentas, actividad sospechosa, etc.):

• Revoque sus sesiones activas inmediatamente desde la configuración de seguridad de su cuenta en Viuzi.
• Si utiliza autenticación mediante contraseña para otros servicios vinculados, cámbiela inmediatamente.
• Para usuarios que utilizan exclusivamente Google OAuth, revoque el acceso de Viuzi desde la sección de aplicaciones con acceso a su cuenta de Google (myaccount.google.com > Seguridad > Aplicaciones de terceros).
• Notifique a Viuzi a través de safety@viuzi.com.
• No comparta información sobre el incidente con terceros no autorizados.

9.3 Daños a la Propiedad o Lesiones Personales

Si durante la prestación de un servicio ocurren daños a la propiedad o lesiones personales:

• Documente el incidente con fotografías y descripciones detalladas.
• Busque atención médica si es necesario.
• Reporte el incidente a través de la plataforma y a safety@viuzi.com.
• Contacte a su compañía de seguros para iniciar el proceso de reclamación correspondiente.

Atbion OÜ mantiene un programa estructurado de formación en seguridad para todo su personal:

Formación general obligatoria (todo el personal):

• Formación anual obligatoria en materias de seguridad: RGPD y protección de datos, identificación y respuesta ante phishing, gestión de contraseñas y accesos, notificación de incidentes y buenas prácticas de seguridad.
• La finalización de la formación anual es requisito para el mantenimiento del acceso a los sistemas de producción.

Formación técnica especializada (equipo de desarrollo):

• Formación específica en OWASP Top 10 y principios de codificación segura (secure coding).
• Actualización anual sobre nuevas amenazas y vulnerabilidades relevantes para el stack tecnológico de Viuzi (.NET, MongoDB, AWS).
• Participación en comunidades y recursos de seguridad de la industria.

Simulacros de phishing:

• Se realizan simulacros de phishing trimestrales para evaluar la concienciación del personal y reforzar los comportamientos seguros.
• Los resultados de los simulacros se utilizan para personalizar los contenidos de formación y priorizar las áreas de mejora.

Registro de formación:

• Atbion OÜ mantiene un registro documentado de toda la formación en seguridad completada por cada miembro del personal, incluyendo fechas, contenidos y resultados de evaluaciones.
• Este registro está disponible para auditorías internas y externas.

Atbion OÜ orienta su programa de seguridad conforme a los marcos de referencia internacionales más reconocidos:

Marcos de referencia actuales:

• ISO/IEC 27001:2022: Atbion OÜ realiza una autoevaluación periódica de sus controles de seguridad conforme a los requisitos del estándar ISO/IEC 27001:2022 (Sistema de Gestión de Seguridad de la Información).
• NIST Cybersecurity Framework (CSF) 2.0: Las funciones del NIST CSF 2.0 (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar) se utilizan como referencia para estructurar y evaluar el programa de seguridad.
• PCI DSS: El cumplimiento de PCI DSS para el procesamiento de pagos se gestiona a través de Stripe (certificado PCI DSS Nivel 1), conforme al modelo de responsabilidad compartida.

Hoja de ruta hacia certificación:

• Atbion OÜ tiene como objetivo alcanzar la certificación ISO/IEC 27001 en un horizonte de 18 meses desde la fecha de entrada en vigor del presente documento.
• La hoja de ruta incluye: auditoría de brechas (gap analysis), implementación de controles faltantes, auditoría interna previa y auditoría de certificación por organismo acreditado.

Evaluaciones adicionales planificadas:

• SOC 2 Type II: Se contempla la realización de una evaluación SOC 2 Type II para facilitar la entrada en el mercado anglosajón y satisfacer los requisitos de due diligence de clientes empresariales internacionales.