Política de Seguridad de la Información

1. Propósito y alcance

Define las medidas de seguridad aplicadas a la plataforma Vigenza y a los datos que trata, incluidos datos sensibles de salud. Es una descripción honesta de la postura vigente; no constituye una certificación.

2. Control de acceso

• Autenticación con correo y contraseña; las contraseñas se almacenan cifradas con bcrypt.
• Sesión mediante token firmado en cookie httpOnly.
• Aislamiento lógico entre empresas: toda consulta está acotada a la organización del usuario (multitenant por identificador de empresa).
• Principio de mínimo acceso del equipo a datos de producción.

3. Cifrado

Cifrado en tránsito mediante TLS. Cifrado en reposo provisto por la base de datos gestionada (PostgreSQL/Neon). No afirmamos un algoritmo específico más allá de lo que provee el proveedor de infraestructura.

4. Registro y trazabilidad

Las acciones sensibles (inicios de sesión, firmas de IRL, adjuntos de evidencia, eliminaciones, exportaciones) se registran con autor y fecha en un log de auditoría disponible para el cliente.

5. Protección de la aplicación

Cabeceras de seguridad (HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) y una Política de Seguridad de Contenido (CSP). Validación de entrada y control de tamaño de archivos adjuntos.

6. Respaldo y continuidad

La base de datos gestionada provee respaldos según su servicio. La aplicación se despliega de forma reproducible en infraestructura serverless.

7. Gestión de incidentes

Ante un incidente de seguridad seguimos el Procedimiento de Notificación de Brechas, notificando a los clientes afectados sin dilación indebida.

8. Mejoras en curso (transparencia)

Estamos trabajando en reforzar la seguridad. Aún no implementamos: autenticación de dos factores (2FA), almacenamiento de evidencias en almacenamiento de objetos dedicado (hoy en base de datos), ni certificaciones formales. No prometemos lo que aún no existe.