Todo lo que tu equipo legal y de seguridad
necesita revisar.

Postura de compliance

Lo que tenemos hoy, lo que está en roadmap y lo que no aplica.

Preferimos ser explícitos. Si tu compliance interno pide algo de la columna “En roadmap” como condición bloqueante, conversémoslo antes de adoptar.

• Cumplimiento Decreto-Ley 1.204 (Venezuela)
  Activo

  Operación como firma electrónica simple bajo el marco vigente. Documentado en /legal/decreto-1204.

• Verificación pública reproducible
  Activo

  Hashes recomputados del lado del servidor, export offline para peritos y root CA publicada.

• Cifrado AES-256 en reposo · TLS 1.2+ en tránsito
  Activo

  Aplicado a documentos, reportes de evidencia y backups.

• Row-Level Security multi-tenant
  Activo

  Aislamiento de datos garantizado por políticas RLS en Postgres.

• DPA disponible para clientes empresariales
  Activo

  Ver /legal/dpa — firmable por Empresa/Corporativo y enterprise.

• Divulgación responsable (security.txt)
  Activo

  Política publicada en /.well-known/security.txt — respuesta en 72 h hábiles.

• Status page con histórico de incidentes
  Activo

  /status muestra componentes y mantenimientos en tiempo real.

• Cabeceras de seguridad y CSP
  Activo

  Calificación A en securityheaders.com: Content-Security-Policy, HSTS con preload, X-Content-Type-Options, X-Frame-Options, Referrer-Policy y Permissions-Policy. TLS 1.3.

• SGSI alineado a ISO/IEC 27001:2022
  Activo

  Sistema de gestión de seguridad documentado: política aprobada, Statement of Applicability sobre los 93 controles del Anexo A y registro de riesgos. No es una certificación; la certificación por organismo acreditado está planificada según demanda.

• CSA STAR Nivel 1 (CAIQ v4.1)
  Activo

  Autoevaluación CAIQ v4.1 publicada en el registro público de la Cloud Security Alliance (STAR Nivel 1). Es una autoevaluación, no una certificación auditada, y cualquiera puede consultarla. Ver el listado en CSA.

• ISO 27001 (certificación auditada)
  En roadmap

  El SGSI ya está alineado (ver arriba). La certificación por un organismo acreditado se iniciará según la demanda de clientes empresariales.

• SOC 2 Type II
  En roadmap

  Proceso a iniciar conforme escale la base de clientes empresariales. Sin fecha comprometida.

• PCI DSS
  No aplica

  El procesamiento de tarjetas está 100% externalizado a Stripe (PCI DSS Nivel 1). Kligrafia no almacena, procesa ni transmite datos de tarjeta, por lo que su alcance se limita al SAQ A.

• HIPAA
  No aplica

  Fuera del alcance: régimen de salud de Estados Unidos. Kligrafia no procesa información de salud protegida bajo HIPAA.

• Acreditación PSC ante SUSCERTE
  No aplica

  No aplica al modelo de firma electrónica simple. Se evaluará si surge demanda de firma certificada.

Respuesta a incidentes

Cinco pasos, sin improvisar.

Cuando algo se rompe, lo importante no es prometer perfección sino tener un proceso. Este es el nuestro.

1. Paso 1

   Detección y triage

   Monitoreo automatizado + reportes externos. Clasificación inicial por severidad (P0/P1/P2/P3) y alcance dentro de la primera hora.

2. Paso 2

   Contención

   Mitigación inmediata para detener pérdida o exposición. Para incidentes de seguridad: aislamiento, rotación de credenciales, bloqueo de vectores.

3. Paso 3

   Comunicación

   Para incidentes P0/P1: actualización en /status dentro de 30 minutos de la confirmación, comunicación directa a clientes afectados y, si aplica, notificación bajo la cláusula 11 del DPA.

4. Paso 4

   Erradicación y recuperación

   Eliminación de la causa raíz, restauración de servicios, verificación de integridad de datos. Tiempo objetivo según severidad.

5. Paso 5

   Post-mortem público (cuando aplica)

   Para incidentes con impacto material al cliente, publicamos un análisis posterior con causa raíz y acciones correctivas adoptadas.

Preguntas frecuentes

Lo que preguntan los equipos legal y de procurement.

¿Dónde están físicamente mis datos?

Los PDFs y reportes de evidencia viven en Cloudflare R2 (red global, principalmente US/EU). La base de datos relacional opera en un proveedor gestionado con cifrado en reposo (US/EU). Los detalles regionales específicos están en la lista de sub-procesadores de arriba. Para clientes con requisitos estrictos de residencia de datos, conversemos antes de adoptar.

¿Quién es el responsable y quién es el encargado del tratamiento?

Tú (el cliente empresarial) eres el Responsable del tratamiento de los datos personales que cargas al servicio. Kligrafia (Didi Solutions C.A.) actúa como Encargado, procesando los datos siguiendo tus instrucciones documentadas en el DPA y los Términos.

¿Puedo solicitar un cuestionario de seguridad personalizado?

Sí, para clientes empresariales y corporativos respondemos cuestionarios de proveedores (SIG, CAIQ-Lite o templates internos) bajo NDA mutuo. Escribe a [email protected] con el contexto.

¿Cómo me entero si Kligrafia agrega un sub-procesador?

Notificamos a los clientes empresariales con al menos 30 días de antelación (cláusula 8 del DPA). Si tienes objeciones razonables, puedes oponerte; si no llegamos a una solución, podrás rescindir la suscripción sin penalidad por la porción no consumida.

¿Qué pasa con mis datos si cancelo la suscripción?

Mantenemos los datos en formato exportable por un período razonable definido en los Términos, durante el cual puedes descargar todos los sobres y reportes de evidencia. Pasado ese período, los datos se eliminan o anonimizan según lo establecido en el DPA, salvo retenciones legales obligatorias (facturación, registros tributarios).