Política de Seguridad de la Información (resumen)

Este documento resume cómo protegemos la información en la plataforma Carta Porte (la "Plataforma"):

• Trust Cargo la presta: TRUST23 INTEGRATED SERVICES, S.A. de C.V.
• Trust Cargo la opera, directamente o a través de sus proveedores de servicios tecnológicos.

Aplica a nuestro personal y a los proveedores que tratan información de la Plataforma.

1. Objetivo y principios

Protegemos la confidencialidad, la integridad y la disponibilidad de la información de nuestros clientes.

Nos guiamos por estos principios:

• la seguridad se incorpora desde el diseño;
• cada persona tiene solo el acceso que necesita para su función (menor privilegio);
• separamos la información de cada cliente; y
• registramos las acciones relevantes para poder revisarlas.

2. Clasificación de la información

Nivel	Ejemplos	Protección
Pública	Documentos legales publicados, información comercial	Sin restricciones
Interna	Procedimientos y documentación técnica	Solo personal autorizado
Confidencial	Datos de los clientes, datos personales, facturas, información financiera	Acceso por necesidad, cifrado en tránsito y en reposo, registro de accesos
Restringida	Contraseñas, llaves y credenciales de servicios, archivos y contraseña del CSD	Gestor de secretos o cifrado adicional; nunca en el código ni en correos

3. Control de acceso

Separación entre empresas:

• Los datos de cada empresa están separados de los de las demás.
• En cada solicitud, el servidor verifica que el usuario pertenece a la empresa cuyos datos consulta.

Dentro de cada empresa:

• su administrador asigna roles y permisos; y
• los usuarios inician sesión con un código que les llega por correo.

Acceso de nuestro personal y proveedores a la infraestructura, al código y a los servicios administrativos:

• es personal e intransferible;
• se limita a lo necesario para su función;
• requiere autenticación de dos factores; y
• se retira de inmediato al terminar la relación.

4. Protección de los datos

Cifrado:

• En tránsito: toda la comunicación con la Plataforma usa HTTPS (TLS).
• En reposo: Google Cloud cifra la información almacenada.
• CSD: sus archivos se guardan en almacenamiento privado, y su contraseña se cifra además en la aplicación.

Secretos: las credenciales de los servicios se guardan en un gestor de secretos (Secret Manager), nunca en el código.

Códigos y enlaces temporales:

• los códigos de verificación no se guardan tal cual: se guarda solo una huella criptográfica, y vencen en minutos; y
• los enlaces para descargar documentos son temporales.

Verificación de mensajes: verificamos la firma de los mensajes que nos envían nuestros proveedores de pagos, mensajería, correo y autenticación antes de procesarlos.

Software malicioso: los documentos que suben los clientes en el portal se revisan contra software malicioso antes de quedar disponibles.

Ambientes separados:

• Desarrollo y pruebas usan proyectos separados de producción.
• No usamos datos reales de producción en desarrollo ni en pruebas.

5. Desarrollo seguro

Revisión de cada cambio. Todo cambio al software:

• se propone mediante una solicitud de cambio (pull request);
• se revisa; y
• debe pasar controles automáticos antes de integrarse: tipos, estilo, pruebas y compilación.

Controles de seguridad automáticos en cada cambio:

• análisis estático del código (SAST);
• búsqueda de secretos expuestos; y
• análisis de vulnerabilidades en las dependencias.

Dependencias:

• Las actualizaciones de seguridad se proponen de forma automática y se atienden según su gravedad.
• Las versiones de las dependencias quedan fijadas en un archivo de bloqueo.

Ramas y publicación:

• Las ramas principales están protegidas.
• Una versión llega a producción solo después de la aprobación de una persona autorizada.

Capacitación: el personal de desarrollo recibe capacitación en desarrollo seguro al menos una vez al año.

6. Transferencia segura de información

• Intercambiamos información con nuestros proveedores solo por conexiones cifradas.
• No enviamos información confidencial ni documentos de identidad por correo sin protección. Para eso usamos medios protegidos.
• Antes de enviar información, verificamos que el destinatario esté autorizado para recibirla.
• No comunicamos datos personales a terceros fuera de lo que permite el Aviso de Privacidad.

7. Proveedores

• Elegimos proveedores con prácticas de seguridad reconocidas.
• Les damos solo el acceso que necesitan.
• Los obligamos, por contrato o por sus condiciones de servicio, a proteger la información.
• La lista de proveedores que tratan datos personales está en el Aviso de Privacidad.

8. Registro y monitoreo

• Registro de auditoría: registramos quién hace cada acción relevante en el panel.
• Registros técnicos: se guardan en Google Cloud, sin contraseñas ni llaves.
• Disponibilidad: el panel y el portal se vigilan con verificaciones automáticas, y una falla genera una alerta.

9. Respaldo y continuidad

Base de datos:

• respaldos completos diarios, conservados 14 días; y
• recuperación a cualquier minuto de los últimos 7 días.

Archivos: los archivos eliminados se pueden recuperar durante 7 días.

Pruebas: probamos la restauración al menos dos veces al año.

Continuidad:

• La operación no depende de una oficina física: el servicio corre en la nube y el equipo puede trabajar de forma remota y segura.
• Ante un incidente grave, una sola persona designada informa a los clientes.

Los objetivos de recuperación están en el Acuerdo de Nivel de Servicio.

10. Gestión de incidentes de seguridad

Cómo los atendemos:

1. detectamos el incidente;
2. lo contenemos;
3. eliminamos su causa;
4. restablecemos el servicio; y
5. documentamos lo aprendido.

Avisos a los clientes: avisamos sin demora injustificada a los clientes afectados.

Avisos a los titulares de datos personales: cuando un incidente afecte de forma significativa sus derechos patrimoniales o morales, les avisamos conforme a la ley, con:

• lo ocurrido;
• los datos comprometidos;
• las recomendaciones para protegerse; y
• las acciones que tomamos.

Lo que pedimos a los clientes:

• avisar de inmediato a contact@trustcargo.mx si sospechan que una cuenta o una credencial está comprometida; y
• colaborar cuando el incidente se relacione con sus usuarios, equipos o configuraciones.

11. Personal

• Nuestro personal y nuestros proveedores están obligados a guardar confidencialidad.
• Usan credenciales personales y equipos protegidos, y se conectan por redes seguras.
• Deben reportar de inmediato cualquier sospecha de un incidente, como un correo fraudulento o la pérdida de un equipo.

12. Reporte de vulnerabilidades

• Si encuentras una posible vulnerabilidad, escríbenos a contact@trustcargo.mx con los detalles necesarios para reproducirla.
• No accedas a datos de otras personas ni hagas pruebas que afecten el servicio.
• Te responderemos y te avisaremos cuando se haya corregido.

13. Cuestionarios y auditorías

Podemos responder cuestionarios de seguridad razonables de nuestros clientes y entregar información adicional bajo confidencialidad.

Por seguridad, no damos acceso a:

• nuestro código;
• nuestra infraestructura; ni
• la información de otros clientes.

14. Revisión de esta política

Revisamos esta política al menos una vez al año y después de cualquier cambio importante en la infraestructura.

Contacto: contact@trustcargo.mx