Seguridad de datos

1. Alcance y responsabilidad compartida

Los controles cubren el sitio WordPress, la aplicación autenticada, la API y la operación relacionada en la medida descrita. Epistemic LAS protege la plataforma y sus accesos; los proveedores protegen sus servicios contratados; y la Institución protege identidades, dispositivos, redes, configuraciones, legitimación y calidad de los datos que controla.

2. Arquitectura, separación de entornos y aislamiento

El SaaS aplica aislamiento lógico por organización y comprueba en el servidor que cada identidad y permiso correspondan al contexto solicitado antes de autorizar una operación. Los entornos público, beta, desarrollo y aplicación tienen finalidades separadas; su separación requiere configuración, revisión y pruebas continuas.

3. Identidad, sesiones y control de acceso

El acceso se basa en cuentas y funciones autorizadas; las sesiones se validan, renuevan y revocan mediante controles del servidor y los flujos de identidad disponibles. La aplicación conserva los materiales estrictamente necesarios descritos en la Política de cookies, los accesos sensibles incorporan medidas contra abuso automatizado y las áreas internas permanecen restringidas.

4. Transporte, plataforma y secretos

• HTTPS/TLS y HSTS protegen las interfaces públicas configuradas;
• secretos operativos se suministran fuera del código de aplicación y se someten a comprobaciones de exposición;
• workloads y contenedores aplican permisos limitados, usuarios no privilegiados y sistemas de archivos de solo lectura cuando el componente lo permite;
• WordPress reduce endpoints, cabeceras y funciones públicas no necesarias y limita el acceso editorial a usuarios autorizados.

5. Seguridad de aplicación y datos

La validación de entrada, la autorización por rol y tenant, el tratamiento de errores y la persistencia deben aplicarse en las fronteras de la API, no confiar únicamente en la interfaz. Los permisos siguen mínimo privilegio y los registros de seguridad deben evitar exponer credenciales o contenido educativo innecesario. El cifrado y la retención específicos de cada servicio de datos deben constar en la arquitectura y el contrato aplicables.

6. Desarrollo, cambios y dependencias

Los cambios se someten a pruebas, revisión estática, comprobaciones de exposición de secretos y un proceso controlado de publicación. Las dependencias y versiones deben revisarse antes de promoción; los controles automatizados reducen riesgo, pero no sustituyen la revisión de diseño, las pruebas de seguridad ni la gestión de vulnerabilidades.

7. Continuidad, copias y recuperación

Los cambios del sitio beta exigen una copia previa y una ruta controlada de recuperación. La cobertura, frecuencia, cifrado, ubicación, retención y pruebas de restauración del SaaS deben confirmarse por entorno y en el acuerdo aplicable. Esta página no publica un objetivo de recuperación, punto de recuperación ni garantía de restauración que no hayan sido formalmente validados.

8. Registro, monitorización e incidentes

Se conservan las señales operativas y de seguridad necesarias para detectar fallos, investigar accesos y responder a incidentes conforme al propósito y calendario aplicables. La clasificación, contención, recuperación y comunicación dependen del riesgo y el rol de cada parte. Los avisos a la Institución, personas o autoridades siguen el contrato y los plazos legales; no afirmamos un plazo universal no contratado.

9. Proveedores, infraestructura y pagos

Los proveedores que puedan acceder a datos deben evaluarse, contratarse con obligaciones adecuadas y figurar en la documentación de subencargados cuando corresponda. Sus ubicaciones y salvaguardas de transferencia deben verificarse. Epistemic LAS no procesa actualmente datos de tarjetas mediante el Sitio o el SaaS; por ello no afirmamos un alcance PCI DSS ni copiamos controles de un procesador de pagos inexistente. Si se añade pago en línea, esta página y el modelo de responsabilidades deberán actualizarse antes de activarlo.

10. Responsabilidades de la institución y divulgación responsable

La Institución debe revisar accesos, retirar cuentas a tiempo, proteger dispositivos, formar usuarios, clasificar y minimizar datos, mantener contactos de incidente y validar integraciones. Una posible vulnerabilidad puede comunicarse de forma responsable a info@epistemic-las.com con pasos reproducibles y sin acceder, alterar o divulgar datos ajenos.

11. Alcance, evidencia y certificaciones

Describimos controles con evidencia disponible y revisamos su vigencia cuando cambian el código, los proveedores o los entornos; en particular, no afirmamos certificaciones ISO, SOC, PCI DSS u otras que no estén formalmente obtenidas, ni ausencia absoluta de incidentes. Auditorías, pruebas de penetración, compromisos de recuperación y niveles de servicio específicos deben documentarse en el proceso contractual correspondiente.