Política de Seguridad

1. Alcance

Esta política aplica a:

• La plataforma Cuántica DMP en todas sus modalidades de despliegue (Cloud, On-Premise e Híbrido).
• El sitio web www.cuantica.solutions.
• La infraestructura, sistemas y servicios de soporte operados por Cuántica Soluciones.
• Todo el personal, colaboradores y proveedores con acceso a los sistemas.

2. Controles de Seguridad por Capa

3. Autenticación y Control de Acceso

3.1 Autenticación

• 2FA obligatorio: todos los usuarios deben verificar su identidad con un código OTP enviado por email en cada sesión.
• Tokens JWT: sesiones gestionadas mediante JSON Web Tokens con tiempo de expiración configurable.
• Bloqueo de cuenta: bloqueo automático tras intentos fallidos de inicio de sesión consecutivos.
• Contraseñas seguras: mínimo 8 caracteres con combinación de mayúsculas, minúsculas, números y símbolos.

3.2 Gestión de privilegios

• Principio de mínimo privilegio: cada usuario accede solo a los recursos que necesita.
• 4 roles predefinidos: Administrador, Editor, Supervisor y Lector.
• Permisos configurables por repositorio y tipo documental.
• Revisión periódica de accesos y eliminación de cuentas inactivas.

4. Protección de Datos en Reposo y en Tránsito

4.1 Datos en reposo

• Todos los documentos almacenados son cifrados con AES-256 antes de escribirse en disco.
• Las claves de cifrado se gestionan de forma segura y se rotan periódicamente.
• Las bases de datos cuentan con cifrado a nivel de filesystem.
• Las credenciales de usuarios se almacenan únicamente como hash bcrypt con factor de coste 12; nunca en texto plano.

4.2 Datos en tránsito

• Todas las comunicaciones entre el cliente y la plataforma se realizan mediante HTTPS con TLS 1.2 o superior.
• Las comunicaciones internas entre servicios también viajan cifradas.
• Se rechazan conexiones con protocolos obsoletos (SSLv3, TLS 1.0, TLS 1.1).

5. Seguridad de la Infraestructura

5.1 Configuración de red

• Firewall perimetral con reglas de mínimo privilegio: solo puertos 80 (HTTP redirigido) y 443 (HTTPS) abiertos al público.
• Acceso SSH (puerto 22) restringido a IPs autorizadas para administración.
• Servidores internos en red privada, sin exposición directa a internet.
• Segmentación de servicios: base de datos, caché y colas de mensajes en redes separadas.

5.2 Hardening de servidores

• Sistema operativo actualizado con parches de seguridad aplicados mensualmente.
• Servicios innecesarios deshabilitados.
• Acceso root deshabilitado; gestión mediante usuarios con privilegios controlados.
• Monitoreo continuo de integridad del sistema.

6. Gestión de Vulnerabilidades y Actualizaciones

• Revisión y aplicación de parches de seguridad críticos en un plazo máximo de 72 horas desde su publicación.
• Actualizaciones de software planificadas con notificación previa al cliente.
• Análisis periódico de dependencias del stack tecnológico en busca de vulnerabilidades conocidas (CVEs).
• Pruebas de seguridad antes de cada versión mayor de la plataforma.

7. Backup y Continuidad del Negocio

7.1 Política de copias de seguridad

• Backup automático diario a las 2:00 AM.
• Backups cifrados con AES-256 almacenados en ubicación separada.
• Retención: 7 días (diarios), 4 semanas (semanales), 12 meses (mensuales).
• Verificación mensual de la integridad y restauración de backups.

7.2 Objetivos de recuperación

• RPO (Recovery Point Objective): máximo 24 horas de pérdida de datos.
• RTO (Recovery Time Objective): restauración del servicio en máximo 4 horas.

8. Gestión de Incidentes de Seguridad

Cuántica Soluciones dispone de un proceso estructurado para la gestión de incidentes:

Severidad	Descripción	Tiempo de respuesta	Notificación al cliente
Crítico	Brecha de datos confirmada, sistema inaccesible	Inmediata (24/7)	Máximo 72 horas (LOPDP)
Alto	Vulnerabilidad explotada, degradación severa	2 horas (Premium) / 4 horas (Estándar)	24 horas
Medio	Intento de acceso no autorizado, anomalía detectada	8 horas	48 horas
Bajo	Evento menor sin impacto en disponibilidad ni datos	24 horas	Reporte mensual

En caso de brecha de datos personales, Cuántica Soluciones notificará a la Autoridad de Protección de Datos Personales del Ecuador y a los titulares afectados en los plazos establecidos por el Art. 44 de la LOPDP (máximo 72 horas desde la detección).

9. Seguridad en el Uso de Inteligencia Artificial

Cuando el cliente utiliza las funciones de análisis con IA de Cuántica DMP:

• Solo se envían al proveedor de IA los fragmentos de texto estrictamente necesarios para el análisis; nunca el documento completo de forma innecesaria.
• No se almacenan datos de documentos en los sistemas de los proveedores de IA más allá del tiempo de procesamiento.
• El cliente puede deshabilitar la funcionalidad de IA en cualquier momento desde la configuración.
• Los proveedores de IA (Google Gemini, Anthropic Claude, OpenAI, Ollama) están sujetos a acuerdos de procesamiento de datos compatibles con la LOPDP.

10. Responsabilidades del Cliente

La seguridad es una responsabilidad compartida. El cliente es responsable de:

• Gestionar adecuadamente las credenciales de sus usuarios y revocar accesos de empleados que abandonen la organización.
• No compartir contraseñas ni códigos OTP con terceros.
• Reportar de inmediato cualquier incidente o sospecha de acceso no autorizado.
• Mantener actualizados los dispositivos desde los que accede a la plataforma.
• En modalidad On-Premise, asegurar la infraestructura física y de red de sus instalaciones.

11. Reporte de Vulnerabilidades (Responsible Disclosure)

Cuántica Soluciones valora la colaboración de la comunidad de seguridad. Si usted descubre una vulnerabilidad en nuestra plataforma o sitio web, le pedimos que nos lo comunique de forma responsable:

• Correo: mauricio.rodriguez@cuantica.solutions
• Asunto: "Reporte de Vulnerabilidad — Cuántica DMP"
• Incluya una descripción detallada, pasos para reproducir y el posible impacto.
• No realice pruebas destructivas ni acceda a datos de otros clientes.

Nos comprometemos a responder en un plazo máximo de 5 días hábiles y a trabajar con usted para resolver el problema antes de cualquier divulgación pública.

12. Revisión y Actualización

Esta Política de Seguridad es revisada al menos una vez al año, o ante cambios significativos en la infraestructura, la plataforma o la normativa aplicable. Las actualizaciones se publicarán en esta página con la nueva fecha de revisión.