Seguridad

Nuestro Compromiso

En KVTemplate, la seguridad es un pilar fundamental de nuestra plataforma. Implementamos un enfoque de seguridad por capas (defensa en profundidad) para proteger los datos de los restaurantes y sus clientes, cumpliendo con los más altos estándares de la industria y la normativa ecuatoriana.

Esta página detalla las medidas de seguridad técnicas, organizativas y legales que aplicamos para garantizar la confidencialidad, integridad y disponibilidad de la información.

1. Cifrado de Datos

Todo el tráfico entre su navegador y nuestros servidores está protegido mediante TLS 1.3 (Transport Layer Security), el estándar más reciente de cifrado en tránsito. Esto aplica a la web pública, el panel de administración, nuestras APIs y las integraciones con terceros.

Los datos sensibles en reposo (contraseñas, tokens de autenticación) se almacenan utilizando algoritmos de hashing robustos (bcrypt/argon2) y nunca en texto plano.

2. Seguridad de Bases de Datos (Row Level Security)

Utilizamos Row Level Security (RLS) a nivel de base de datos en Supabase/PostgreSQL. Cada consulta a la base de datos es filtrada automáticamente por el identificador del restaurante propietario, impidiendo que un usuario acceda a datos que no le pertenecen.

Esta protección opera a nivel de motor de base de datos y no puede ser eludida desde la capa de aplicación, garantizando el aislamiento total de datos entre restaurantes.

3. Protección de Pagos (PCI DSS)

KVTemplate no almacena, procesa ni transmite datos de tarjetas de crédito o débito. Todos los pagos se procesan exclusivamente a través de PayPal, un proveedor certificado PCI DSS Nivel 1 (el más alto estándar de la industria de pagos).

Al utilizar PayPal como único procesador de pagos, KVTemplate reduce su alcance PCI DSS al mínimo (SAQ A), eliminando el riesgo de exposición de datos financieros de nuestros usuarios.

4. Autenticación y Control de Acceso

Soportamos autenticación de dos factores (2FA) para todas las cuentas. El acceso a datos y funciones administrativas está restringido mediante roles y permisos granulares.

Las sesiones de usuario se gestionan con tokens JWT de corta duración y rotación automática. Las credenciales de acceso se transmiten siempre cifradas y nunca se almacenan en caché del lado del cliente.

5. Monitoreo Continuo y Respuesta a Incidentes

Mantenemos monitoreo continuo de seguridad las 24 horas para detectar y responder a actividades sospechosas, intentos de acceso no autorizado y vulnerabilidades potenciales.

En caso de detectarse una violación de seguridad que afecte datos personales, KVTemplate notificará a la Autoridad de Protección de Datos Personales del Ecuador dentro de las 72 horas siguientes, de conformidad con el artículo 42 de la LOPD, y comunicará a los titulares afectados sin dilación indebida.

6. Backups y Recuperación ante Desastres

Realizamos backups diarios automáticos de toda la información almacenada en la plataforma. Los backups se almacenan en ubicaciones geográficamente separadas y se cifran en reposo.

Nuestro objetivo de tiempo de recuperación (RTO) es inferior a 1 hora y nuestro objetivo de punto de recuperación (RPO) es inferior a 24 horas, garantizando la continuidad del negocio de nuestros usuarios.

7. Seguridad Física y de Infraestructura

Nuestra infraestructura está alojada en Vercel (plataforma de despliegue serverless), servidores VPS propios (para servicios complementarios) y Supabase (base de datos), proveedores que mantienen certificaciones SOC 2 Tipo II, ISO 27001 y cumplen con estándares internacionales de seguridad física y lógica en sus centros de datos.

El acceso a la infraestructura de producción está restringido exclusivamente a personal técnico autorizado mediante autenticación multifactor y registros de auditoría.

8. Cumplimiento Normativo Ecuador

KVTemplate opera en cumplimiento de la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPD), implementando los principios de licitud, lealtad, transparencia, limitación de finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad.

Para facturación electrónica, cumplimos con los requisitos del Servicio de Rentas Internas (SRI) del Ecuador, generando facturas en formato PDF y XML válidos para declaración tributaria.

9. Privacidad por Diseño y por Defecto

Aplicamos los principios de Privacy by Design y Privacy by Default en el desarrollo de todas nuestras funcionalidades. Esto significa que la protección de datos está integrada en la arquitectura de la plataforma desde su concepción y no como una capa añadida posteriormente.

Por defecto, solo se recopilan los datos mínimos necesarios para la prestación del servicio. No vendemos, compartimos ni monetizamos datos personales de nuestros usuarios o sus clientes.

10. ¿Cómo Reportar una Vulnerabilidad?

Si descubre una vulnerabilidad de seguridad en nuestra plataforma, le agradecemos que lo reporte de manera responsable. Para ello, envíe un correo electrónico a: [email protected] con los detalles técnicos y pasos para reproducir el hallazgo.

Mantendremos comunicación directa con usted durante el proceso de investigación y remediación. Solicitamos no divulgar públicamente la vulnerabilidad hasta que hayamos tenido la oportunidad de corregirla (política de divulgación responsable). Agradecemos y eventualmente reconoceremos a los investigadores que sigan este proceso.