Seguridad y Compliance
Compliance y Seguridad
Última actualización: 2026-04-30
Nuestro Compromiso
CloudSealed se compromete a mantener los más altos estándares de seguridad y cumplimiento. Implementamos medidas técnicas y organizativas para proteger sus datos durante todo el ciclo de análisis. Nuestras prácticas de seguridad están diseñadas para alinearse con SOC 2 Tipo II (certificación en curso), LGPD (Brasil), CCPA (California) y las mejores prácticas de ingeniería de software de la industria.
Zero-Trust Architecture & Third-Party Risk Management (TPRM)
CloudSealed operates under Zero-Trust and agentless principles, with a no-LLM-training commitment on customer payloads, designed for enterprise security reviews. Operational data retention periods (30 days / 24 months / 5 years) are described in our Privacy Policy:
Logical access controls and a cryptographic SHA-256 audit ledger for gateway-governed automated actions. Certification in progress; not yet audited by an independent third party.
Zero LLM training on customer payloads (operational retention periods apply — see Privacy Policy), deterministic complexity routing, and FinOps token budget circuit breakers. Controls designed in alignment with ISO/IEC 42001 and 27001; not certified by an accredited body.
Low-latency regex + AST sanitization of PII (CPF, SSN, credit cards) and secret keys (AWS AKIA, OpenAI sk-, Private Keys) prior to upstream LLM dispatch, designed to support LGPD/GDPR obligations. Coverage of AI paths is being expanded.
Target pattern: AWS STS AssumeRole with mandatory ExternalId and an auditable CloudFormation template. Not all connectors use STS yet; credential handling is being migrated to vault-backed storage.
Marcos Regulatorios
Nuestras prácticas están diseñadas para alinearse con los siguientes marcos y estándares regulatorios:
LGPD (Ley General de Protección de Datos)
Diseñado para alinearse con la ley de protección de datos de Brasil, incluida la base legal para el procesamiento, los derechos de los titulares, el nombramiento del DPO y los procedimientos de reporte a la ANPD.
CCPA / Leyes de Privacidad de EE. UU.
Diseñado para alinearse con la Ley de Privacidad del Consumidor de California y las leyes de privacidad estatales emergentes. No hay venta de información personal. Prácticas de datos transparentes.
SOC 2 Tipo II
Nuestra infraestructura y procesos están diseñados para alinearse con los Criterios de Servicios de Confianza de SOC 2 para seguridad, disponibilidad y confidencialidad. La certificación SOC 2 Tipo II se encuentra actualmente en curso.
Cumplimiento de Políticas de Google Ads
Cumplimiento total con las Políticas de Publicidad de Google, incluidas prácticas comerciales transparentes, afirmaciones precisas y divulgaciones adecuadas de recopilación de datos.
Medidas de Seguridad
Cifrado en Reposo y en Tránsito
Todos los datos se cifran utilizando AES-256 en reposo y TLS 1.3 en tránsito. Las conexiones de bases de datos utilizan SSL. Las cargas de archivos se cifran en Google Cloud Storage.
Control de Acceso
Control de acceso basado en roles (RBAC) con el principio de privilegio mínimo. Autenticación multifactor para cuentas de especialistas. Tokens de sesión con caducidad automática.
Registro de Auditoría
Pista de auditoría completa para todos los accesos, modificaciones y acciones administrativas. Los registros son inmutables y se conservan durante 5 años.
Gestión de Vulnerabilidades
Evaluaciones periódicas de seguridad, escaneo de dependencias y pruebas de penetración. Programa de divulgación responsable para investigadores de seguridad.
Seguridad del Personal
Verificación de antecedentes para todos los especialistas con acceso a datos de clientes. Capacitación corporativa obligatoria en concienciación sobre seguridad. Acuerdos de confidencialidad (NDA).
Seguridad de Infraestructura
Alojado en Google Cloud Platform con centros de datos certificados SOC 2. Segmentación de red, reglas de firewall y protección DDoS. Copias de seguridad periódicas y pruebas de recuperación ante desastres.
Procesamiento de Datos
Los datos de los clientes se procesan exclusivamente para entregar informes de auditoría en la nube y servicios relacionados. No utilizamos datos de clientes para entrenar modelos de IA, para marketing o para ningún propósito más allá del alcance del servicio acordado. Los datos están lógicamente aislados por cliente. Implementamos principios de minimización de datos: recopilamos y procesamos solo lo estrictamente necesario para el análisis técnico.
Respuesta a Incidentes
Mantenemos un plan de respuesta a incidentes documentado que incluye identificación, contención, erradicación, recuperación y revisión posterior al incidente. En caso de una violación de datos, notificaremos a los usuarios afectados dentro de las 72 horas y reportaremos a las autoridades competentes (ANPD para usuarios brasileños) según lo exija la ley. Los incidentes de seguridad se pueden reportar a [email protected].
Gestión de Proveedores
Todos los proveedores de servicios externos son evaluados en cuanto a seguridad y cumplimiento antes de la contratación. Mantenemos Acuerdos de Procesamiento de Datos (DPA) con todos los subencargados del tratamiento. Nuestros principales subencargados incluyen Google Cloud Platform (infraestructura), SendGrid (entrega de correo electrónico), Vercel (implementación en el borde), Anthropic (procesamiento de IA — modelos Claude), Google (procesamiento de IA — modelos Gemini), Slack (notificaciones operativas) y Stripe y Mercado Pago (procesamiento de pagos). Una lista completa está disponible bajo petición.
Contacto de Seguridad
Para problemas de seguridad, informes de vulnerabilidad o consultas de cumplimiento: