Confianza y seguridad
Qué hacemos con tus datos, dónde se guardan y qué aún no tenemos. Escrito para la persona cuyo trabajo es decir que no.
Controles
Qué está realmente implantado
Verde significa que funciona hoy. También hemos listado las carencias, porque una página llena solo de marcas verdes no se la cree nadie.
Datos aislados por clienteImplantado
Cada tabla lleva un id de organización y cada consulta se limita por él, algo que impone la row level security en la base de datos y no solo el código de la aplicación. Un fallo en una página no puede devolver las filas de otro cliente.
Cifrado en tránsito y en reposoImplantado
TLS en cada conexión. Los datos en reposo los cifra con AES-256 nuestro proveedor de base de datos y almacenamiento.
Credenciales nunca guardadas en forma legibleImplantado
Las claves API y los tokens de ingesta se guardan como resúmenes SHA-256. El texto en claro se muestra una vez al crearlos y nadie puede recuperarlo, ni siquiera nosotros.
Mínimo privilegio en las columnas secretasImplantado
Las columnas con credenciales de terceros se excluyen de los permisos de tu sesión, así que son ilegibles incluso para un miembro con sesión iniciada de tu propia organización.
Registro de accesosImplantado
Se registran los eventos de autenticación y el uso de claves API. Nuestro proveedor registra los accesos a la base de datos.
Copias de seguridad y recuperaciónImplantado
Copias de seguridad automáticas diarias guardadas por nuestro proveedor de base de datos, con recuperación a un momento concreto disponible en el nivel de producción.
Inicio de sesión único con SAMLDisponible bajo petición
La aplicación ya trata la identidad como externa y lee los roles del registro de tu organización, así que añadir SAML es configuración y no reescritura. Necesita un proveedor de identidad empresarial por tu parte y un nivel de pago por la nuestra. Pídelo y lo activaremos en tu cuenta.
SOC 2 Type IITodavía no
No lo tenemos. SOC 2 es una auditoría independiente durante un periodo de observación, no una funcionalidad: requiere un auditor, varios meses de evidencias y un presupuesto de cinco cifras. La empezaremos cuando la demanda empresarial lo justifique, y preferimos decirlo antes que insinuar lo contrario en una página como esta. Mientras tanto, los controles de arriba son reales y responderemos a cualquier cuestionario en detalle.
Test de penetraciónTodavía no
Todavía no se ha realizado ninguna prueba de terceros. La revisión interna con mentalidad de atacante forma parte de cómo publicamos los cambios, pero no es lo mismo y no la presentaremos como tal.
Dónde están tus datos
El alojamiento de la aplicación y la base de datos los proporcionan nuestros subencargados del tratamiento, listados al completo en la página de subencargados, que nombra a cada tercero que puede acceder a datos de clientes y qué hace cada uno. Nuestros términos de tratamiento de datos están en el DPA.
QUORIAN - F.Z.E está registrada en Ajman Free Zone, Ajman, United Arab Emirates.
Informar de un problema
Si crees que has encontrado una vulnerabilidad, escribe a info@quorian.com. Cuéntanos qué has encontrado y cómo reproducirlo. Confirmaremos la recepción en dos días laborables. Ahora mismo no tenemos un programa de recompensas de pago, y no emprenderemos acciones contra nadie que informe de buena fe de un problema real sin acceder a datos de otros clientes.
¿Algo que no se trata aquí? Escribe a info@quorian.com y pregunta. Quorian responde a cuestionarios de seguridad.