Política de Ciberseguridad
Prevención, respuesta a incidentes, divulgación responsable y límites de responsabilidad.
1. Prevención
- ▸Actualización continua de dependencias, parches de seguridad y revisión de configuraciones.
- ▸Revisión de integraciones de terceros antes de habilitarlas y ante cambios relevantes.
- ▸Mínimo privilegio en accesos y separación de funciones para operaciones sensibles.
- ▸Validación de entradas y protección contra ejecución remota, inyección y falsificación de solicitudes.
- ▸Controles antiabuso: límites de tasa, detección de automatización y verificación de retos.
2. Gestión de identidades y secretos
Las contraseñas se almacenan con funciones de hash resistentes; nadie en la plataforma puede leerlas.
Los secretos de infraestructura y de proveedores se guardan cifrados y su acceso se audita.
La rotación de credenciales es periódica y obligatoria ante cualquier sospecha de exposición.
Los accesos de exempleados y de terceros se revocan el mismo día de su salida.
3. Reporte de vulnerabilidades
Repórtala por el Centro de Soporte con descripción, pasos para reproducir y alcance estimado.
No accedas a datos de otros usuarios, no modifiques información, no interrumpas el servicio y no publiques el hallazgo antes de su corrección.
Se acusa recibo en 5 días hábiles y se informa el estado de la remediación.
Se reconocen públicamente, con autorización del investigador, los reportes que ayuden a mejorar la seguridad.
Las pruebas de penetración sin autorización escrita se consideran acceso no autorizado, aunque no haya daño.
4. Respuesta a incidentes
| Detección y clasificación | Se identifica el alcance y la severidad en las primeras horas. |
| Contención | Se aísla el componente afectado, se revocan credenciales y se bloquea el vector de ataque. |
| Evaluación | Se determina qué datos y operaciones se vieron afectados. |
| Notificación | A titulares afectados y, cuando corresponde, a la autoridad. |
| Remediación | Corrección definitiva, verificación y monitoreo reforzado. |
| Post-mortem | Causa raíz documentada y acciones preventivas con responsable y fecha. |
5. Continuidad
La plataforma mantiene respaldos verificados y procedimientos de recuperación. Ante un incidente que afecte la disponibilidad, se prioriza restaurar la operación de envíos y la integridad del saldo sobre funciones accesorias. Los tiempos de recuperación se revisan después de cada incidente mayor.
6. Conductas prohibidas
- ▸Acceder a cuentas o datos que no te pertenecen.
- ▸Realizar escaneos, fuerza bruta o pruebas de carga sin autorización.
- ▸Introducir código malicioso, cargas diseñadas para agotar recursos o enlaces de phishing.
- ▸Extraer datos de forma masiva o automatizada.
- ▸Publicar una vulnerabilidad abierta antes de su corrección.
- ▸Usar la plataforma para atacar a un tercero o para alojar contenido ilícito.
7. Responsabilidad del usuario
El usuario protege sus credenciales, su dispositivo y su correo. Un acceso realizado con credenciales válidas se presume del titular, salvo prueba de compromiso ajeno notificado oportunamente.
El usuario debe reportar de inmediato cualquier indicio de compromiso: sesiones desconocidas, cambios no realizados, correos de verificación no solicitados.
Las pérdidas derivadas de compartir códigos de verificación o de instalar software malicioso no son imputables a la plataforma.
8. Límites y cooperación
La plataforma aplica controles conforme al estado de la técnica, pero no puede garantizar inmunidad absoluta frente a ataques desconocidos.
Se colabora con autoridades y con otros proveedores del ecosistema ante incidentes que afecten a varios servicios.
Los daños derivados de fuerza mayor, de un ataque no razonablemente previsible o de la negligencia del usuario no son imputables a la plataforma.
9. Documentos relacionados
Esta política complementa la Política de Seguridad de la Información, el Aviso de Privacidad, la Política de Uso Aceptable, las Condiciones de uso de la API y la política de SLA.
Última actualización: 10 de noviembre de 2026 · NEXUS LOGISTICS