Política de seguridad de la información

1. PROPÓSITO

Establecer compromisos y reglas de seguridad para proteger la confidencialidad, integridad y disponibilidad de la información de MOVANZA, de las empresas y de los trabajadores. Este documento describe controles esperados y obligaciones de los usuarios; su publicación como política vigente requiere confirmar la implementación real de cada control.

2. ALCANCE

Comprende cuentas, credenciales, datos de empresas, tareas, ubicaciones, marcas temporales, archivos, sistemas de soporte, infraestructura, servicios de terceros y personas con acceso autorizado. La seguridad es una responsabilidad compartida: MOVANZA administra la plataforma dentro de su alcance y cada empresa gestiona correctamente a sus usuarios, permisos y dispositivos.

3. CLASIFICACIÓN DE LA INFORMACIÓN

La información se clasificará por sensibilidad y necesidad de acceso. La información pública podrá difundirse; la información interna se reservará a operaciones autorizadas; los datos personales y registros de ubicación se tratarán con acceso restringido. Los secretos técnicos, claves, tokens y credenciales no deberán publicarse en repositorios, documentos públicos o mensajes de soporte.

4. IDENTIDADES Y CONTROL DE ACCESO

Se promoverá la autenticación individual, la asignación del mínimo privilegio y la revocación de accesos cuando termine una vinculación. Los permisos deberán distinguir las funciones de empresa, trabajador y administración. Las operaciones sobre una empresa deberán validar en el servidor que el usuario pertenece a ella y tiene el rol necesario. No es suficiente ocultar botones en la interfaz. La separación efectiva entre empresas deberá comprobarse mediante pruebas de autorización.

5. CREDENCIALES Y SESIONES

Los usuarios deben proteger sus credenciales, no compartir contraseñas y cerrar sesiones en dispositivos ajenos. MOVANZA deberá configurar las sesiones, recuperación de acceso y políticas de autenticación conforme a las capacidades reales del proveedor utilizado. Las contraseñas no deben almacenarse en texto plano. La disponibilidad de autenticación multifactor se indicará únicamente si está implementada.

6. INTEGRIDAD DE REGISTROS

Las marcas de tiempo utilizadas para calcular duración de tareas deberán originarse en el servidor y no ser editables libremente desde el navegador. Las acciones de aceptación, rechazo, inicio, finalización y cancelación deben respetar las reglas de negocio. Los registros finalizados o cancelados conservarán el historial que resulte legítimamente necesario y las correcciones deberán ser trazables cuando exista una función de auditoría. No se presumirá que los registros son infalsificables.

7. GEOLOCALIZACIÓN Y CONFIABILIDAD

El GPS y otros métodos de posicionamiento pueden presentar errores, manipulación o imprecisión. La validación de radio geográfico debe ejecutarse con criterios documentados y mensajes claros ante fallos. El resultado debe interpretarse como una comprobación técnica sujeta a limitaciones, no como evidencia definitiva de desempeño. Las empresas no deben emplear estos resultados de forma automática para decisiones laborales sin revisión humana y contexto suficiente.

8. CIFRADO, TRANSPORTE Y ALMACENAMIENTO

Las comunicaciones con el servicio deberán protegerse con protocolos seguros, y los secretos de aplicación deberán almacenarse fuera del código público. Los datos almacenados deberán protegerse según su sensibilidad y los controles ofrecidos por la infraestructura. Antes de publicar afirmaciones específicas sobre cifrado en reposo, rotación de claves o aislamiento, verificar configuración y contratos de los proveedores.

9. COPIAS DE SEGURIDAD Y RECUPERACIÓN

Se definirán responsables, periodicidad, retención y procedimientos de restauración para los respaldos necesarios. Las copias deberán protegerse frente a acceso no autorizado. La existencia de respaldos no garantiza recuperación instantánea: los objetivos de recuperación y los tiempos de indisponibilidad solo podrán prometerse después de realizar pruebas y establecer compromisos operativos.

10. ACTUALIZACIONES Y VULNERABILIDADES

Se mantendrá un procedimiento para actualizar componentes, evaluar dependencias, corregir fallas y revisar configuraciones. Los accesos privilegiados deberán limitarse y registrarse cuando sea técnicamente viable. Se deberán realizar pruebas de seguridad antes de cambios relevantes, especialmente en permisos por empresa, ubicación y operaciones de tareas.

11. INCIDENTES DE SEGURIDAD

Ante sospecha de exposición, pérdida o acceso indebido, se deberá registrar el evento, contenerlo, analizar su alcance, corregir causas y determinar si corresponde informar a autoridades, empresas y titulares. Canal para reportes: [PENDIENTE]. Los plazos de reporte a autoridades se aplicarán según el régimen y la obligación concreta; no se promete un plazo único sin evaluación jurídica.

12. PROVEEDORES Y PERSONAL AUTORIZADO

Los proveedores y colaboradores con acceso a información deberán estar sujetos a deberes de confidencialidad y obligaciones contractuales proporcionales. El acceso de soporte a datos de clientes debe ser excepcional y justificado. Al finalizar la relación de una persona autorizada se deberán revocar los accesos pertinentes.

13. RESPONSABILIDADES DE LOS USUARIOS

Las empresas deben mantener actualizadas las vinculaciones de su equipo, retirar accesos cuando corresponda y evitar compartir información con personas no autorizadas. Los trabajadores deben usar sus propias cuentas, no falsificar ubicación ni intentar acceder a datos de terceros. La detección de una anomalía deberá comunicarse por el canal de soporte.

14. REVISIÓN Y VIGENCIA

La política se revisará ante cambios de arquitectura, incidentes relevantes, nuevas funcionalidades o cambios regulatorios. Responsable interno de seguridad: [PENDIENTE]. Fecha de vigencia: [PENDIENTE].