Paquete de evaluación de seguridad

Alcance y estado

• Cubre el envío de eventos por webhook, la API de datos de lectura y el registro de eventos, descritos en esta documentación.
• Los hechos técnicos se verificaron contra el código de la plataforma en la revisión c2ca4e785df8 de api-daas; los plazos de retención y los objetivos de diseño provienen del diseño técnico de la plataforma y se indican como tales.
• Este paquete no declara certificaciones de seguridad ni auditorías de terceros.
• Las condiciones contractuales (nivel de servicio, subencargados, tratamiento de datos, divulgación de vulnerabilidades) están en los Anexos complementarios y en la Política de Privacidad; esta página los cita y no los reemplaza.

Arquitectura y flujo de datos

Un hecho de negocio (por ejemplo, un contrato que cambia de estado) se captura dentro de la misma transacción de la base de datos de negocio y se deja en una bandeja de salida. Un relay lo copia al registro de eventos, que vive en una base de datos separada y aislada por empresa. Un único proceso, sin acceso desde internet, toma las entregas pendientes y las envía al destino HTTPS de la empresa. Ese proceso es el único con salida a internet y el único que posee las claves privadas con que se descifran las credenciales de los destinos.

Acción en Masnet
  -> captura transaccional (base de datos de negocio) -> bandeja de salida
  -> relay -> registro de eventos (base aislada, filas separadas por empresa)
  -> planificador de entregas -> proceso de envío (único con salida a internet)
  -> HTTPS (TLS) -> destino de la empresa cliente

• Cada entrega se proyecta, en el momento del envío, con los grupos de campos que el destino tiene otorgados; antes de cada intento se vuelven a comprobar el estado de la integración y del destino y los permisos vigentes.
• Los pods de la API solo cifran las credenciales de un destino con una clave pública: una API comprometida puede crear material pero no leerlo.
• Una integración nunca administra integraciones: sus credenciales no sirven para cambiar la configuración.
• La API de datos siempre se limita a la empresa de la credencial; la empresa nunca es un parámetro y un objeto ajeno responde como inexistente.

Datos que salen, por dominio y grupo

La empresa otorga a cada integración un permiso por dominio y por grupo de campos. public y business salen al otorgar el dominio; confidential y people solo con una confirmación explícita del administrador. La tabla cuenta, por objeto, los campos de primer nivel de data.object que pertenecen a cada grupo según los esquemas publicados; un objeto anidado cuenta como un campo.

Lo que nunca se exporta

• Texto libre de comentarios, notas, conversaciones, justificaciones y glosas internas.
• Contenido de archivos y URL firmadas.
• Datos de KIM, indicaciones y respuestas de inteligencia artificial.
• Marcas personales, borradores, checklists y tareas privadas.
• Secretos y credenciales, telemetría y navegación.

El registro de acciones de usuarios exporta el hecho de cada acción, nunca su contenido. Nombre, correo, IP y agente de usuario requieren además el grupo people, y la lectura exige que el administrador declare que la empresa informó el control a sus usuarios.

Cifrado y firma

Salida de red y direcciones IP

Masnet no publica direcciones IP de salida fijas. Las entregas salen desde direcciones compartidas entre empresas, por lo que la IP no autentica: el receptor debe verificar la firma o la credencial. Un receptor cuyo cortafuegos exija una lista de IP de origen usa el modo pull (API de datos y registro de eventos), que se consulta desde su red; si una empresa exige además recibir webhooks desde direcciones IP conocidas, se acuerda con ella.

• Cada intento resuelve el nombre DNS, rechaza cualquier dirección no pública y fija la conexión a las direcciones validadas.
• No se siguen redirecciones y la respuesta se lee solo hasta 2 KiB.
• La dirección del servidor de autorización de OAuth pasa por las mismas defensas.
• La URL del destino, que puede incluir una firma en la query, se trata como una credencial: se cifra, se muestra enmascarada y no se registra.

Retención

Valores del diseño técnico de la plataforma:

Los eventos se particionan por día y se eliminan por partición. Una solicitud de supresión de datos personales purga el contenido afectado. Para los datos de la cuenta al término del contrato, véanse la sección 9 de la Política de Privacidad y el Anexo F.9 de los Anexos.

Auditoría

• La emisión de tokens, los fallos de autenticación y las lecturas del registro de eventos y de acciones quedan registrados por integración, con el identificador de solicitud.
• Diez fallos de autenticación de un cliente en 15 minutos generan un aviso al administrador de la integración. Los fallos repetidos desde una misma IP aumentan el retraso y pueden bloquearla; por cliente solo hay retraso, nunca bloqueo, para que un tercero no deje sin acceso a un cliente legítimo.
• Los cambios de configuración (destinos, permisos, credenciales, declaraciones) se registran y pueden recibirse como el evento audit.integration_changed, que nunca incluye valores secretos.
• Cada entrega conserva su historial: intentos, códigos, duración y la huella SHA-256 del cuerpo enviado para conciliar con el receptor.

Gestión de secretos

• Los secretos de firma, claves de API y secretos de cliente se muestran una sola vez y no se pueden leer después.
• Las claves de API vencen por omisión a los 365 días y cada cliente admite dos secretos vigentes para rotar sin interrupción; la revocación es inmediata.
• Los extractos de respuesta del receptor se depuran: no conservan las credenciales que se le enviaron.

Respuesta a incidentes

Plazo de notificación publicado: la sección 10 de la Política de Privacidad establece que, ante incidentes de seguridad que afecten datos personales, Masnet evaluará el riesgo y notificará al Cliente o a los titulares afectados dentro de las 72 horas siguientes a la confirmación del incidente. El Anexo F.7 de los Anexos agrega que la notificación se hace sin demora indebida y con cooperación en la evaluación. Los reportes de vulnerabilidades se envían a [email protected]; la política de divulgación responsable es el Anexo B.

Subencargados y tratamiento de datos

• Roles: la empresa cliente es la responsable del tratamiento y Masnet, la encargada (Anexo F.2).
• Subencargados: el Anexo D describe sus categorías y obligaciones, y las secciones 7 y 8 de la Política de Privacidad identifican a los proveedores y las transferencias internacionales. La información detallada se entrega a solicitud en [email protected] o [email protected].
• Ley 21.719: la Política de Privacidad describe la transición normativa. Para un Data Processing Addendum detallado, el Anexo F.10 indica solicitarlo a [email protected].
• Medidas de diseño de las integraciones: minimización por omisión (people excluido), registro de cada envío, revocación inmediata y retención acotada.
• Disponibilidad: el Anexo A fija la disponibilidad mensual de la Plataforma.

Prueba de penetración externa

La prueba de penetración externa previa a la disponibilidad general todavía no se ha realizado. Sus resultados se publicarán en esta página cuando exista.