Seguridad

Detect.ar es una plataforma de seguridad. La protección de los datos de nuestros usuarios no es una funcionalidad secundaria: es el núcleo de nuestro producto. Diseñamos cada capa del sistema con el principio de seguridad por diseño y por defecto.

Esta página describe las medidas técnicas y organizativas que implementamos para proteger tu información.

2.1. Cifrado en tránsito

Toda la comunicación entre tu navegador y nuestros servidores se realiza mediante TLS 1.3. No aceptamos conexiones sin cifrar. Los certificados se renuevan automáticamente y se monitorean continuamente.

2.2. Cifrado en reposo

El contenido almacenado (análisis, resultados, archivos) se cifra en reposo utilizando AES-256 en la capa de almacenamiento. Las claves de cifrado se gestionan de forma separada a los datos.

2.3. Aislamiento de procesamiento

Los archivos enviados para análisis (PDFs, imágenes, emails y adjuntos) se procesan en entornos aislados (sandboxed). Cada análisis se ejecuta en un contexto efímero que se destruye al finalizar. Esto previene que contenido malicioso afecte a otros usuarios o a la infraestructura de la Plataforma.

2.4. Enlaces desactivados

Por defecto, todos los enlaces y URLs presentes en el contenido analizado se desactivan automáticamente. Esto evita clics accidentales en enlaces maliciosos, tanto en la interfaz de análisis como en los reportes generados.

3.1. Enmascaramiento automático

Los reportes generados aplican enmascaramiento automático a datos sensibles: CBU, alias bancarios, números de teléfono y direcciones de email se muestran parcialmente ocultos por defecto. Esto reduce el riesgo de exposición accidental al compartir reportes.

3.2. Modo "no guardar"

Los usuarios pueden activar el modo "no guardar" para realizar análisis sin que el contenido ni los resultados se almacenen en nuestros servidores. El análisis se realiza en tiempo real y los datos se descartan al finalizar la sesión.

3.3. Retención configurable

Los usuarios eligen cuánto tiempo se retiene su información: 7, 30 o 90 días. Transcurrido el período seleccionado, los datos se eliminan automáticamente. Los usuarios pueden solicitar la eliminación anticipada en cualquier momento.

3.4. Sanitización de contenido

Los emails y archivos adjuntos se procesan en un entorno aislado y sanitizado. Se neutralizan scripts embebidos, macros potencialmente maliciosas y contenido activo antes de almacenar o mostrar cualquier resultado.

• Proveedores certificados: Nuestra infraestructura se aloja en proveedores de cloud que cumplen con estándares de seguridad reconocidos internacionalmente (SOC 2, ISO 27001).
• Red segmentada: Los servicios internos operan en redes privadas segmentadas. Solo los endpoints necesarios están expuestos a internet, protegidos por firewall y rate limiting.
• Monitoreo continuo: Implementamos monitoreo de seguridad 24/7 con alertas automáticas ante patrones anómalos de acceso, intentos de intrusión y cambios no autorizados.
• Actualizaciones: Las dependencias y sistemas operativos se actualizan periódicamente. Los parches de seguridad críticos se aplican con prioridad.

• Autenticación: Las cuentas se protegen con autenticación segura. Las contraseñas se almacenan con hashing robusto (bcrypt/argon2), nunca en texto plano.
• Autorización: Cada solicitud se valida contra permisos del usuario. Un usuario solo puede acceder a sus propios análisis y datos. En cuentas Empresas, los permisos se gestionan por roles.
• Protección contra ataques comunes: Implementamos protecciones contra CSRF, XSS, SQL injection, y otros vectores de ataque del OWASP Top 10.
• Rate limiting: Se aplican límites de solicitudes para prevenir abuso automatizado y ataques de fuerza bruta.
• Validación de entrada: Todo el contenido recibido se valida y sanitiza antes del procesamiento.

El análisis de contenido utiliza modelos de inteligencia artificial. Respecto al procesamiento con IA:

• El contenido enviado a proveedores de IA está sujeto a acuerdos de procesamiento de datos (DPA) que prohíben el uso del contenido para entrenamiento de modelos.
• No enviamos datos identificatorios del usuario junto con el contenido a analizar cuando no es necesario para el análisis.
• Los resultados del análisis se generan en tiempo real y no se almacenan en los sistemas del proveedor de IA más allá del tiempo necesario para completar la solicitud.
• Evaluamos periódicamente a nuestros proveedores de IA para verificar el cumplimiento de sus compromisos de seguridad y privacidad.

Para cuentas Empresas, la Plataforma proporciona un registro de auditoría que incluye:

• Quién accedió a cada caso o análisis.
• Quién modificó el estado de un caso (abierto, en revisión, cerrado).
• Quién generó o compartió un reporte.
• Historial de cambios en políticas y configuraciones del equipo.

Estos registros están disponibles para administradores y son exportables para auditorías externas de cumplimiento.

Contamos con un proceso documentado de respuesta a incidentes de seguridad que incluye:

• Detección y contención: Identificación rápida del incidente y contención del impacto.
• Evaluación: Análisis del alcance y datos potencialmente afectados.
• Notificación: En caso de una brecha que afecte datos personales, notificaremos a los usuarios afectados y, cuando corresponda, a la Agencia de Acceso a la Información Pública, dentro de los plazos legales aplicables.
• Remediación: Corrección de la vulnerabilidad y medidas para prevenir recurrencia.

Si descubrís una vulnerabilidad de seguridad en Detect.ar, te pedimos que nos la reportes de forma responsable antes de divulgarla públicamente. Contactanos en hola@detect.ar con el asunto "Vulnerabilidad de seguridad".

Nos comprometemos a:

• Acusar recibo del reporte dentro de 48 horas hábiles.
• Investigar y corregir vulnerabilidades legítimas con la mayor urgencia posible.
• No iniciar acciones legales contra investigadores de seguridad que actúen de buena fe y respeten este proceso.

Para consultas o reportes relacionados con seguridad: hola@detect.ar