Política de Seguridad

Introducción

AvazarAI considera la seguridad de la información y la protección de los datos personales elementos fundamentales para la prestación de sus servicios.

Esta Política de Seguridad describe los principios, medidas técnicas y organizativas y prácticas generales utilizadas para proteger la información procesada a través de la plataforma AvazarAI, incluyendo sus aplicaciones, APIs, integraciones, automatizaciones y servicios basados en inteligencia artificial.

AvazarAI adopta un enfoque de seguridad basado en riesgos y busca incorporar principios de seguridad y privacidad desde el diseño y por defecto en el desarrollo y operación de sus servicios.

Alcance

Esta política se aplica a los sistemas y servicios tecnológicos que forman parte de AvazarAI.

• Aplicación web y plataforma SaaS.
• Arquitectura multiempresa o multi-tenant.
• Bases de datos y servicios de almacenamiento.
• APIs e integraciones.
• Agentes y servicios de inteligencia artificial.
• Integraciones con WhatsApp y servicios de Meta.
• Sistemas CRM y automatizaciones.
• Sistemas de agenda.
• Infraestructura cloud.
• Sistemas de autenticación y autorización.
• Herramientas administrativas.
• Sistemas de monitoreo y registro.
• Servicios de terceros utilizados por la plataforma.

Principios de seguridad

Las prácticas de seguridad de AvazarAI se fundamentan en los principios de confidencialidad, integridad y disponibilidad de la información.

Además, buscamos aplicar principios de minimización de datos, necesidad de acceso, mínimo privilegio, separación de funciones y protección de datos desde el diseño.

Protección de datos durante la transmisión

AvazarAI utiliza conexiones seguras para la transmisión de información entre usuarios, aplicaciones, APIs y servicios.

Cuando corresponde, las comunicaciones utilizan protocolos de cifrado seguros como HTTPS/TLS, con el objetivo de reducir el riesgo de interceptación, alteración o acceso no autorizado a información transmitida mediante redes públicas.

Protección de datos almacenados

AvazarAI aplica medidas destinadas a proteger los datos almacenados en su infraestructura y en los servicios tecnológicos utilizados para operar la plataforma.

El acceso a bases de datos, archivos, configuraciones y otros recursos se limita a sistemas y usuarios autorizados de acuerdo con sus funciones.

Las credenciales, claves, tokens y secretos utilizados para operar servicios e integraciones deben mantenerse separados del código fuente y protegidos mediante mecanismos adecuados.

Arquitectura multi-tenant y separación de clientes

AvazarAI opera bajo una arquitectura SaaS multi-tenant, permitiendo que diferentes organizaciones utilicen la plataforma de manera independiente.

La plataforma está diseñada para mantener separación lógica entre los datos, configuraciones, usuarios, servicios y permisos correspondientes a cada cliente.

Autenticación y control de acceso

El acceso a los sistemas de AvazarAI se encuentra restringido a usuarios y servicios autorizados.

• Identificación individual de usuarios.
• Protección de contraseñas.
• Roles y permisos.
• Restricciones de acceso administrativo.
• Control de acceso basado en organización o tenant.
• Expiración o revocación de sesiones.
• Registros de autenticación cuando corresponda.
• Aplicación del principio de mínimo privilegio.

Gestión de contraseñas y credenciales

Los usuarios son responsables de mantener sus credenciales bajo confidencialidad. AvazarAI recomienda utilizar contraseñas únicas y seguras y evitar compartir cuentas entre diferentes personas.

Las credenciales de servicios, claves API, tokens de autenticación y otros secretos utilizados internamente deben almacenarse mediante mecanismos destinados a evitar su exposición no autorizada.

Seguridad de APIs

Las APIs de AvazarAI están diseñadas para requerir mecanismos adecuados de autenticación y autorización cuando las operaciones así lo requieran.

• Validación de solicitudes.
• Tokens o mecanismos de autenticación.
• Control de permisos.
• Restricción de recursos por tenant.
• Límites de utilización cuando corresponda.
• Registro de operaciones relevantes.
• Validación de parámetros.
• Protección frente a solicitudes no autorizadas.

Integraciones con Meta y WhatsApp

AvazarAI puede integrarse con tecnologías proporcionadas por Meta Platforms, incluyendo servicios relacionados con WhatsApp.

Las credenciales, tokens de acceso y otros identificadores utilizados para estas integraciones son tratados como información confidencial.

AvazarAI utiliza la información obtenida mediante estas integraciones para proporcionar las funcionalidades autorizadas por el cliente o usuario y de acuerdo con los permisos otorgados.

El acceso a datos provenientes de Meta se limita a las funcionalidades necesarias para prestar los servicios solicitados.

Cuando una autorización o integración es revocada, AvazarAI podrá eliminar, anonimizar o dejar de procesar la información correspondiente, sujeto a las obligaciones legales, contractuales y períodos de conservación aplicables.

Inteligencia artificial

Algunas funcionalidades de AvazarAI pueden utilizar modelos o proveedores tecnológicos de inteligencia artificial.

La información enviada a estos servicios debe limitarse, cuando sea técnica y razonablemente posible, a aquella necesaria para realizar la operación solicitada.

AvazarAI busca evitar el envío innecesario de información personal o confidencial a proveedores externos.

Cuando AvazarAI actúe como encargado del tratamiento, el procesamiento de información mediante sistemas de inteligencia artificial se realizará dentro del alcance de los servicios contratados y de las instrucciones aplicables del cliente.

Minimización de datos

AvazarAI busca recolectar y procesar únicamente la información necesaria para prestar cada servicio.

Los sistemas son diseñados procurando evitar la recopilación innecesaria de datos personales. Cuando una finalidad pueda alcanzarse utilizando una cantidad menor de información, se favorecerá dicha alternativa cuando resulte razonablemente posible.

Datos personales y datos sensibles

AvazarAI reconoce que algunos clientes pueden utilizar la plataforma para procesar información personal y, dependiendo del contexto de uso, información de carácter sensible.

Las medidas de protección deberán considerar la naturaleza de los datos, el contexto del tratamiento y el riesgo asociado.

El acceso a información sensible deberá limitarse a los usuarios y sistemas que cuenten con una necesidad legítima y autorización para acceder a ella.

Seguridad de infraestructura

AvazarAI puede utilizar proveedores especializados de infraestructura cloud para alojar y operar componentes de la plataforma.

La infraestructura se administra aplicando medidas destinadas a reducir accesos no autorizados y proteger los servicios frente a amenazas de seguridad.

Estas medidas pueden comprender controles de red, firewalls, gestión de accesos, protección de credenciales, actualizaciones de seguridad, registros y monitoreo, según corresponda.

Actualizaciones y gestión de vulnerabilidades

AvazarAI mantiene prácticas destinadas a identificar y corregir vulnerabilidades que puedan afectar los sistemas utilizados para prestar sus servicios.

• Actualización de sistemas operativos.
• Actualización de dependencias.
• Corrección de vulnerabilidades conocidas.
• Revisión de configuraciones relevantes.
• Actualización de aplicaciones.
• Sustitución de componentes obsoletos cuando sea necesario.

Las vulnerabilidades identificadas son priorizadas considerando su potencial impacto y nivel de riesgo.

Registro y monitoreo

AvazarAI puede mantener registros técnicos relacionados con la utilización, funcionamiento y seguridad de sus servicios.

• Inicio y cierre de sesiones.
• Intentos de autenticación.
• Acciones administrativas.
• Operaciones relevantes de APIs.
• Errores de aplicaciones.
• Eventos relacionados con seguridad.
• Fecha y hora de operaciones.
• Direcciones IP cuando resulten necesarias.
• Cambios relevantes dentro de la plataforma.

Estos registros pueden utilizarse para seguridad, diagnóstico, auditoría, prevención de fraude e investigación de incidentes.

Copias de seguridad

AvazarAI mantiene o podrá mantener mecanismos de respaldo destinados a reducir el riesgo de pérdida de información como consecuencia de fallos técnicos, errores operacionales o incidentes.

La frecuencia y duración de los respaldos puede depender del tipo de servicio y de la información procesada.

Las copias de seguridad deben protegerse frente a accesos no autorizados y administrarse de acuerdo con los procedimientos de conservación definidos para cada servicio.

Continuidad y recuperación

AvazarAI adopta medidas destinadas a permitir la recuperación razonable de sus servicios frente a incidentes que puedan afectar su disponibilidad.

Las medidas de recuperación podrán considerar restauración de información, recuperación de infraestructura y restablecimiento de componentes críticos del servicio.

Proveedores y terceros

AvazarAI utiliza o puede utilizar proveedores tecnológicos externos necesarios para prestar determinadas funcionalidades.

• Infraestructura cloud.
• Servicios de inteligencia artificial.
• Comunicaciones.
• Correo electrónico.
• Mensajería.
• Pagos.
• Almacenamiento.
• Monitoreo.
• Autenticación.
• Analítica.

Cuando un proveedor procesa información por cuenta de AvazarAI o de nuestros clientes, se consideran las condiciones aplicables al tratamiento y las medidas de protección correspondientes.

Conservación y eliminación de información

AvazarAI procura conservar la información solamente durante el período necesario para cumplir las finalidades para las cuales fue obtenida, las obligaciones contractuales y los requisitos legales aplicables.

Cuando los datos dejan de ser necesarios, podrán ser eliminados, anonimizados o sometidos a otros mecanismos apropiados de disposición.

Determinada información puede permanecer temporalmente en respaldos técnicos hasta que estos sean reemplazados conforme a sus ciclos normales de retención.

Gestión de incidentes de seguridad

AvazarAI mantiene procedimientos destinados a identificar, analizar, contener y resolver incidentes que puedan afectar la seguridad de sus sistemas o información.

• Identificación y registro del incidente.
• Evaluación inicial.
• Contención.
• Análisis técnico.
• Erradicación de la causa.
• Recuperación de servicios.
• Evaluación del impacto.
• Documentación del incidente.
• Implementación de medidas correctivas.
• Notificación cuando corresponda legalmente.

Notificación de incidentes

Cuando un incidente pueda comprometer datos personales, AvazarAI evaluará su alcance, impacto y las obligaciones legales y contractuales aplicables.

Cuando corresponda, podrán adoptarse medidas para informar a responsables del tratamiento, clientes, titulares, proveedores o autoridades competentes de acuerdo con la normativa aplicable.

Gestión de accesos del personal

Las personas que requieran acceso administrativo a información o sistemas de AvazarAI deben limitar dicho acceso a lo necesario para el desempeño de funciones autorizadas.

Los accesos pueden ser modificados o revocados cuando cambien las responsabilidades de una persona o cuando dejen de ser necesarios.

Responsabilidad de los clientes

Los clientes de AvazarAI también cumplen un papel importante en la protección de la información.

• Mantener protegidas sus credenciales.
• Configurar correctamente los permisos de usuarios.
• Revocar accesos que ya no sean necesarios.
• No compartir claves, contraseñas o tokens.
• Proteger sus dispositivos.
• Mantener actualizada su información de contacto.
• Utilizar integraciones conforme a sus políticas aplicables.
• Informar sospechas de acceso no autorizado.

Reporte responsable de vulnerabilidades

AvazarAI promueve el reporte responsable de posibles problemas de seguridad que puedan afectar sus servicios.

Un reporte debería incluir, cuando sea posible, la descripción de la vulnerabilidad, servicio afectado, pasos para reproducirla, impacto potencial y evidencia técnica.

Quien realice un reporte deberá evitar acceder, modificar, eliminar o descargar información perteneciente a terceros y evitar acciones que puedan afectar la disponibilidad de nuestros servicios.

Protección de datos personales

AvazarAI desarrolla sus prácticas de privacidad considerando la normativa aplicable sobre protección de datos personales, incluyendo la legislación chilena.

La gestión de datos personales se complementará mediante nuestra Política de Privacidad y Tratamiento de Datos Personales.

Una vez publicada, estará disponible en: https://avazarai.com/privacidad

Cumplimiento y mejora continua

AvazarAI revisará periódicamente sus prácticas de seguridad considerando la evolución de la plataforma, nuevas funcionalidades, cambios tecnológicos, nuevas amenazas, requisitos regulatorios, proveedores y resultados de incidentes o revisiones internas.

Los controles podrán ser modificados o fortalecidos de acuerdo con la evolución del riesgo.

Modificaciones de esta política

AvazarAI podrá modificar esta Política de Seguridad cuando sea necesario para reflejar cambios en sus servicios, infraestructura, prácticas de seguridad o requisitos normativos.

Cada modificación significativa podrá identificarse mediante una nueva fecha de actualización y una nueva versión del documento.

Información de contacto

AvazarAI es una plataforma SaaS de inteligencia artificial con operación principal en Chile.

La identificación de la entidad jurídica responsable será incorporada a esta política una vez finalizado el proceso de constitución de la sociedad.