Declaraciones de seguridad

NowVertical Group Inc. y nuestra entidad subsidiaria, NowVertical Group, Inc. (en conjunto, «NowVertical», «nosotros» y «nuestro») se comprometen a aplicar prácticas sólidas de seguridad de la información, incluida la ciberseguridad, para garantizar la confidencialidad, la integridad y la disponibilidad de los activos y la protección contra las amenazas externas e internas.

Esta declaración de seguridad tiene como objetivo proporcionarle más información sobre nuestra infraestructura y prácticas de seguridad. En nuestra Política de privacidad, puede encontrar más detalles sobre cómo manejamos los datos que recopilamos.

Política de seguridad de la información

NowVertical mantiene una política de seguridad de la información escrita que define las responsabilidades de los empleados y el uso aceptable de los recursos del sistema de información. Esta política se revisa y actualiza periódicamente según sea necesario. Además, recibimos reconocimientos firmados de los usuarios que indican que han leído, comprendido y aceptado cumplir las normas de comportamiento antes de proporcionar acceso autorizado a los sistemas de información de NowVertical.

Nuestras políticas de seguridad abarcan temas importantes relacionados con la seguridad, que van desde las normas generales que todos los empleados deben cumplir, como la seguridad física, de las cuentas y de los datos, hasta las normas de seguridad más especializadas que abarcan las aplicaciones internas y los sistemas de información.

Seguridad organizacional

Las funciones y responsabilidades de seguridad de la información se definen dentro de la organización. El equipo de seguridad se centra en la seguridad de la información, las auditorías de seguridad global, el cumplimiento y la definición de los controles de seguridad para proteger los activos de NowVertical (personas, procesos y tecnología). El equipo de seguridad recibe las notificaciones de seguridad del sistema de información con regularidad y distribuye alertas de seguridad e información de asesoramiento a la organización de forma rutinaria después de evaluar el riesgo y el impacto, según corresponda.

Administración de activos

Los activos del sistema de datos e información de NowVertical no suelen contener activos de clientes o usuarios finales. Nuestros activos corporativos se administran de acuerdo con nuestras políticas y procedimientos de seguridad. El personal autorizado de NowVertical que gestiona estos activos debe cumplir con los procedimientos y directrices definidos en las políticas de seguridad de NowVertical. En casos excepcionales y excepcionales en los que los activos de los usuarios finales estén incluidos en nuestro ecosistema de tecnología de la información, se aplican las mismas políticas y procedimientos de seguridad de los activos corporativos.

Seguridad del personal

Los empleados de NowVertical deben comportarse de manera coherente con las directrices de la empresa, incluidas las relativas a la confidencialidad, la ética empresarial, el uso apropiado y los estándares profesionales. Todos los empleados recién contratados deben firmar acuerdos de confidencialidad y aceptar la política del código de conducta de NowVertical. El código describe la expectativa de la empresa de que todos los empleados realicen sus negocios de manera legal, ética, con integridad y con respeto mutuo y con respecto a los usuarios, socios y competidores de la empresa. Existen procesos y procedimientos para dirigirse a los empleados que se incorporan o no a la empresa.

Los empleados reciben capacitación regular sobre seguridad como parte de la orientación para nuevos empleados. Además, cada empleado de NowVertical debe leer, comprender y realizar un curso de formación sobre el código de conducta de la empresa.

Seguridad física y ambiental

NowVertical cuenta con políticas, procedimientos e infraestructura para gestionar tanto la seguridad física de sus centros de datos como el entorno desde el que operan los centros de datos.

Nuestros sistemas de información e infraestructura están alojados en centros de datos de primer nivel (Azure, AWS y Digital Ocean) que están dispersos geográficamente para brindar alta disponibilidad y redundancia a NowVertical y sus clientes. Hacemos un uso completo de los productos de seguridad integrados en este ecosistema. Como mínimo, estos centros de datos han completado satisfactoriamente las auditorías ISO 27001 y SOC 2 de tipo II.

Conexiones de red seguras

El cifrado HTTPS está configurado para el acceso a las aplicaciones web del cliente. Esto ayuda a garantizar que los datos de los usuarios en tránsito estén seguros y disponibles solo para los destinatarios previstos. El nivel de cifrado se negocia con el cifrado SSL o TLS y depende de lo que admita el navegador web.

Seguridad de red

Nuestros servidores de infraestructura se encuentran detrás de firewalls de alta disponibilidad y se supervisan para detectar y prevenir diversas amenazas a la seguridad de la red. Los firewalls se utilizan para ayudar a restringir el acceso a los sistemas desde redes externas y entre sistemas internos. De forma predeterminada, se deniega todo acceso y solo se permiten los puertos y protocolos permitidos de forma explícita en función de las necesidades empresariales.

• para responder a sus comunicaciones y solicitudes

• para cumplir con los requisitos legales, reglamentarios, de auditoría, de seguridad y financieros según las regulaciones federales y provinciales

• para mantener los registros comerciales durante períodos de tiempo razonables

• para realizar estudios de mercado y recopilar información demográfica y estadística sobre nuestros usuarios con el fin de gestionar y mejorar nuestro negocio

• para proporcionarle nuestros comunicados de prensa, alertas y actualizaciones, de conformidad con la ley aplicable. Puede darse de baja de dichas comunicaciones en cualquier momento haciendo clic en el enlace para cancelar la suscripción incluido en cada comunicación.

NowVertical mantiene entornos de desarrollo y producción separados. Garantizamos una segmentación adecuada de la red mediante el establecimiento de zonas de seguridad que controlan el flujo del tráfico de la red. Estos flujos de tráfico se definen mediante políticas estrictas de seguridad de firewall.

Las herramientas automatizadas se implementan dentro de la red para respaldar el análisis de eventos casi en tiempo real a fin de respaldar la detección de ataques a nivel del sistema.

Ciclo vital del desarrollo de software

Seguimos una metodología definida para desarrollar software seguro diseñado para aumentar la resiliencia y la confiabilidad de nuestros productos. Nuestros productos se implementan siguiendo un ciclo de vida de desarrollo iterativo y de lanzamiento rápido. La seguridad y las pruebas de seguridad se implementan a lo largo de toda la metodología de desarrollo de software. El control de calidad interviene en cada fase del ciclo de vida, y las mejores prácticas de seguridad son un aspecto obligatorio de todas las actividades de desarrollo.

Nuestro ciclo de vida de desarrollo seguro sigue las prácticas de seguridad estándar, incluidas las pruebas de vulnerabilidad, las pruebas de regresión, las pruebas de penetración y las evaluaciones de seguridad de los productos. Los equipos de arquitectura de NowVertical revisan nuestra metodología de desarrollo con regularidad para incorporar la evolución de la conciencia de seguridad y las prácticas del sector y para medir su eficacia.

Relaciones entre proveedores y vendedores

A NowVertical le gusta asociarse con proveedores y vendedores que operan con los mismos o similares valores en materia de legalidad, ética e integridad que NowVertical. Como parte de su proceso de revisión, evaluamos a nuestros proveedores y vendedores y los obligamos a cumplir las obligaciones de confidencialidad y seguridad adecuadas, especialmente si gestionan los datos de los clientes.

Realizamos auditorías de vez en cuando a los proveedores y vendedores de NowVertical con el fin de garantizar la confidencialidad, la integridad y la disponibilidad de los datos que nuestros proveedores o vendedores externos puedan gestionar.

Gestión del cambio

NowVertical mantiene un proceso de administración de cambios para garantizar que todos los cambios realizados en el entorno de producción se apliquen de manera deliberada. Los cambios se revisan, aprueban, prueban y supervisan después de la implementación para garantizar que los cambios esperados funcionen según lo previsto. Los cambios en los sistemas de información, los dispositivos de red y otros componentes del sistema, así como los cambios físicos y ambientales, se supervisan y controlan mediante un proceso formal de control de cambios.

Conservaremos la información personal solo durante el tiempo que sea necesario para los fines para los que se recopiló o según lo exija la ley. Utilizamos medios seguros para eliminar la información personal.

Auditoría y registro

El Sitio puede contener enlaces a plataformas de terceros a las que no se aplica la Política. Si selecciona dicho enlace, abandonará el sitio de NowVertical. Tenga en cuenta que no supervisamos ni controlamos el contenido que aparece en estos sitios de terceros y que dicho contenido puede cambiar constantemente. Si visita estos sitios de terceros, es posible que los sitios asignen una cookie. NowVertical no controla estas cookies ni es responsable del marketing u otro uso de su información por parte de estos terceros. Toda la información personal que proporcione a través de esos sitios de terceros se regirá por las políticas de privacidad aplicables a esos sitios y no por esta Política. Le recomendamos que revise todas estas políticas de privacidad antes de proporcionar cualquier información personal a sitios de terceros.

Protección antivirus y antimalware

Las herramientas antivirus (XDR) están configuradas para ejecutar escaneos, detectar virus, escribir archivos en tiempo real y actualizar archivos de firmas. La protección antivirus (XDR) y contra códigos malintencionados se administra y configura de forma centralizada para recuperar las firmas y definiciones actualizadas disponibles. Las políticas de protección contra códigos malintencionados aplican automáticamente las actualizaciones a estos mecanismos de protección. Los usuarios remotos y portátiles están cubiertos por la protección antivirus.

Respaldos del sistema

NowVertical cuenta con normas y directrices de respaldo y procedimientos asociados para realizar copias de seguridad y restauración de datos de manera programada y oportuna. Si bien normalmente no almacenamos los datos de los clientes, ya que nuestros productos se implementan en las instalaciones del cliente, podemos apoyar y asesorar a nuestros clientes sobre los mecanismos de respaldo adecuados que deben emplear en las soluciones implementadas. Los controles se establecen para ayudar a proteger los datos de los que se han hecho copias de seguridad (in situ y fuera de las instalaciones). Se realizan pruebas periódicas para comprobar si los datos se pueden recuperar de forma segura de los dispositivos de respaldo. Si tiene alguna pregunta, duda o desea obtener más información sobre la recopilación, el uso o la divulgación de su información personal por parte de NowVertical, puede ponerse en contacto con nosotros de la siguiente manera: vicepresidente ejecutivo de Desarrollo Corporativo y Asuntos Jurídicos, privacy@nowvertical.com.

Protección de datos

NowVertical trabaja continuamente para desarrollar productos que admitan los protocolos y conjuntos de cifrado seguro más recientes recomendados para cifrar el tráfico mientras está en tránsito. Supervisamos de cerca el cambiante panorama criptográfico y trabajamos para actualizar nuestros productos para responder a las nuevas debilidades criptográficas a medida que se descubren e implementamos las mejores prácticas a medida que evolucionan. En lo que respecta al cifrado en tránsito, lo hacemos al mismo tiempo que equilibramos la necesidad de compatibilidad para los clientes más antiguos.

Aplicamos un conjunto común de principios de gestión de datos personales a los datos de los clientes que podemos procesar, gestionar y almacenar. Protegemos los datos personales mediante medidas de seguridad físicas, técnicas y organizativas adecuadas. Cualquier información no pública que NowVertical pueda procesar, manejar o almacenar está cifrada en reposo.

Prestamos atención y cuidado adicionales a los datos personales confidenciales y respetamos las leyes y costumbres locales, cuando corresponda. NowVertical solo procesa la información personal de manera compatible y relevante para el propósito para el que se recopiló o autorizó de acuerdo con nuestra Política de privacidad. Tomamos todas las medidas razonables para proteger la información que recibimos de nuestros usuarios contra la pérdida, el uso indebido o el acceso, la divulgación, la alteración o la destrucción no autorizados.

Administración de vulnerabilidades

Las evaluaciones de seguridad se realizan para identificar las vulnerabilidades y determinar la eficacia del programa de administración de parches. Cada vulnerabilidad se revisa para determinar si es aplicable, se clasifica en función del riesgo y se asigna al equipo apropiado para su corrección.

Administración de parches

NowVertical se esfuerza por aplicar los últimos parches y actualizaciones de seguridad a los sistemas operativos, las aplicaciones y la infraestructura de red para mitigar la exposición a las vulnerabilidades. Los parches se prueban antes de implementarlos en producción. Existen procesos de administración de parches para implementar las actualizaciones de los parches de seguridad a medida que los proveedores los publican.

Administración de incidentes

NowVertical tiene un plan de respuesta a incidentes formalizado (Plan de respuesta a incidentes) y procedimientos asociados en caso de un incidente de seguridad de la información. El plan de respuesta a incidentes define las responsabilidades del personal clave e identifica los procesos y procedimientos de notificación. El personal de respuesta a incidentes está capacitado y la ejecución del plan de respuesta a incidentes se prueba periódicamente.

Un equipo de respuesta a incidentes es responsable de proporcionar una capacidad de manejo de incidentes para los incidentes de seguridad, incluida la preparación, la detección y el análisis, la contención, la erradicación y la recuperación.

Continuidad empresarial y recuperación ante desastres

Implementamos un programa de recuperación ante desastres para minimizar las interrupciones del servicio debido a fallas de hardware, desastres naturales o catástrofes. Este programa incluye varios componentes para minimizar el riesgo de cualquier punto único de falla. Además, aprovechamos la redundancia integrada en las herramientas que utilizamos.

Autenticación y autorización

Exigimos que los usuarios autorizados cuenten con identificadores de cuenta únicos. Nuestra política de contraseñas cubre todos los sistemas de información, aplicaciones y bases de datos aplicables. Nuestras políticas de contraseñas exigen el uso de contraseñas complejas, que se implementan para proteger contra el uso no autorizado de contraseñas.

A los empleados de NowVertical se les otorga un conjunto limitado de permisos predeterminados para acceder a los recursos de la empresa, como su correo electrónico y la intranet corporativa. Los empleados tienen acceso a ciertos recursos adicionales en función de sus funciones laborales específicas. Las solicitudes de acceso adicional siguen un proceso formal que implica la solicitud y la aprobación del propietario, administrador u otros ejecutivos de los datos o del sistema, tal como se define en nuestras directrices de seguridad.

Acceso basado en roles

Se implementan controles de acceso basados en roles para acceder a los sistemas de información. Existen procesos y procedimientos para abordar a los empleados que son despedidos voluntaria o involuntariamente. Los controles de acceso a los datos confidenciales de nuestras bases de datos, sistemas y entornos se establecen en función de la necesidad de conocerlos o de los privilegios mínimos necesarios. Las listas de control de acceso definen el comportamiento de cualquier usuario dentro de nuestros sistemas de información, y las políticas de seguridad las limitan a los comportamientos autorizados.