Seguridad para tus datos operativos.

Cifrado

• En reposo: cifrado AES-256 para los datos en disco, incluidos los respaldos. Las claves se administran en AWS KMS y se rotan con regularidad.
• En tránsito: TLS 1.3 para el tráfico entre cliente y servidor y entre servidores. Los protocolos antiguos (TLS 1.0 y 1.1, SSLv3) están deshabilitados en el balanceador de carga.
• Secretos de la aplicación: se guardan en AWS Secrets Manager y no se escriben en disco ni se registran en texto plano.

Infraestructura

• Alojado en AWS (us-east-1 por defecto, eu-west-1 para clientes de la UE).
• Despliegues multi-AZ con conmutación por error automática.
• Respaldos de la base de datos cada hora, con recuperación a un punto en el tiempo de 30 días.
• Verificación diaria de respaldos con pruebas de restauración automáticas.
• Protección contra DDoS con AWS Shield Standard y Cloudflare.

Control de acceso

• Acceso por roles: roles predefinidos en cada producto, como Receptor, Surtidor, Empacador, Gerente y Administrador en WMSHero, además de roles personalizados.
• Inicio de sesión único: SAML 2.0 con Okta, Azure AD, Google Workspace, OneLogin o JumpCloud, en el plan Personalizado.
• Aprovisionamiento SCIM para automatizar altas y bajas de usuarios, en el plan Personalizado.
• Autenticación de dos factores para los usuarios de todos los planes.
• Claves de API con alcance definido, revocables y ligadas a un solo rol.

Registro de auditoría

Las acciones que cambian datos, como escaneos, ediciones, ajustes, traslados y cambios de permisos, se registran con fecha y hora, ID de usuario, dirección IP de origen y dispositivo. Los registros solo admiten nuevas entradas y se pueden exportar como evidencia de auditoría.

Seguridad de proveedores

Usamos un conjunto pequeño de subprocesadores, entre ellos AWS, Stripe, Sentry, Linear y Slack. La lista actualizada de subprocesadores, con la garantía de seguridad de cada uno, está disponible bajo solicitud junto con nuestro DPA.

Reporte de vulnerabilidades

Para reportar una vulnerabilidad, escribe a support@klovio.app con los detalles. Este contacto también está publicado en /.well-known/security.txt. Confirmamos la recepción de cada reporte en un plazo de 24 horas y buscamos corregir los problemas críticos en 72 horas.

Respuesta a incidentes

Mantenemos un plan documentado de respuesta a incidentes que se revisa cada trimestre. Los clientes afectados por un incidente de seguridad reciben aviso en un plazo de 72 horas, según nuestro DPA. Los incidentes del servicio se publican en klovio.app/status.

Solicita nuestros documentos

Disponibles bajo solicitud en support@klovio.app:

• Informe SOC 2 Tipo II (bajo acuerdo de confidencialidad)
• Acuerdo de tratamiento de datos (DPA)
• Lista de subprocesadores
• Resumen de pruebas de penetración
• Acuerdo de socio comercial (HIPAA)