Seguridad y cumplimiento
Seguridad a la altura de un proceso de homologación bancaria.
Bancos y empresas nos confían sus datos de pago. Esta página resume cómo los protegemos y qué documentación pueden solicitar sus equipos de riesgos y compras.
Solicitar documentación de seguridad- Datos en reposoAES-256
- Datos en tránsitoTLS 1.2 y 1.3
- Acceso de empleadosMFA en todos los sistemas
- Pruebas de penetraciónAnuales, por terceros
- Notificación de incidentesEn menos de 48 horas
Defensa en profundidad
Controles en todo el ciclo de vida, desde la primera línea de código hasta producción.
Desarrollo seguro
- Análisis estático de código en cada commit, incluido el OWASP Top 10
- Revisión de cuatro ojos para cambios críticos y despliegues a producción
- Separación estricta de los entornos de desarrollo, pruebas y producción
- Nunca se usan datos reales de clientes en entornos de prueba
Cifrado y claves
- TLS 1.2 o 1.3 con cifrados robustos para todo el tráfico público
- Cifrado AES-256 de bases de datos y almacenamiento
- Contraseñas almacenadas con hash y salt
- Claves API y secretos gestionados en un servicio dedicado de gestión de claves
Gestión de vulnerabilidades
- Escaneo automatizado de infraestructura y dependencias, al menos trimestral
- Parches críticos en 72 horas y de gravedad alta en 14 días
- Prueba de penetración anual por un tercero independiente
Control de accesos
- Autenticación multifactor en todos los sistemas internos y consolas en la nube
- Acceso con mínimo privilegio, revocado en cuanto termina la relación
- Registros de auditoría completos y conservados de forma segura
Infraestructura
- Alojada en Google Cloud, con certificación ISO 27001, SOC 2 Tipo II y PCI DSS
- Sin servidores físicos en nuestras oficinas
- Datos alojados en centros de datos europeos
Protección de datos conforme al RGPD
Wenalyze como encargado del tratamiento
Tratamos datos personales por cuenta de nuestros clientes, con un contrato de encargo de tratamiento firmado con cada uno.
Datos mínimos
Solo tratamos lo que el servicio necesita: identidad, datos de la transacción y del comercio, número de tarjeta parcial y metadatos de conexión.
Respuesta ante incidentes
Los incidentes confirmados que afecten a datos personales se notifican sin dilación y siempre en menos de 48 horas.
Derecho de auditoría
Facilitamos informes de auditoría de terceros y resúmenes de las pruebas de penetración, y admitimos una auditoría anual si no fueran suficientes.
Supresión o devolución
Al terminar el contrato, los datos personales se eliminan o se devuelven, a elección del cliente, salvo que la ley obligue a conservarlos.
Documentación para su revisión
Nuestro equipo puede compartir estos documentos bajo NDA y ayudar a sus equipos con los cuestionarios de seguridad y de proveedores.
- Contrato de encargo de tratamiento
- Medidas técnicas y organizativas de seguridad
- Resumen de la prueba de penetración
- Certificaciones e informes de auditoría de los proveedores de nube
- Respuestas a su cuestionario de seguridad