Seguridad, sin rodeos.

Su perímetro es una lista de direcciones de billeteras con algunos datos sobre cada una. El vínculo entre su código de sujeto y una persona real se queda con usted y nunca nos llega.

Además del perímetro seudonimizado, los datos personales que guardamos por cuenta suya son el correo de trabajo y el nombre de cada persona a la que usted da acceso al panel.

Cada tabla de clientes lleva el identificador del cliente y funciona bajo la seguridad a nivel de fila de PostgreSQL, aplicada incluso al dueño de la tabla. Una consulta sin contexto de cliente no devuelve nada, y el rol propio de la aplicación en la base no es dueño de ninguna tabla, así que no puede saltarse la regla. Una prueba de fuga entre clientes forma parte del conjunto que todo cambio debe superar.

Cada acceso empieza con un código de un solo uso enviado a su correo de trabajo. Recomendamos que todas las personas de su equipo activen un segundo factor en la configuración del panel desde el primer día. Hay dos formas.

• Passkey Resistente al phishing

  Su huella, su rostro o el bloqueo de pantalla del dispositivo. No hay nada que escribir, y un sitio falso no puede usarla: la passkey solo funciona en la dirección real de DEVIATIC.

• App de autenticación

  Un código de seis dígitos de Google Authenticator o de cualquier app compatible, que se renueva cada treinta segundos.

Las sesiones terminan tras un periodo sin actividad y tienen una duración máxima fija. Nunca usamos códigos por SMS. Los operadores de DEVIATIC siempre ingresan con un segundo factor.

Por diseño, los datos de los clientes se almacenan dentro de la Unión Europea.

La base de datos y los servidores de la aplicación

Hetzner, Helsinki, Finlandia

Archivos de informes y datos del servicio

Cloudflare R2 bajo jurisdicción de la UE. El servicio no arranca con una dirección de almacenamiento fuera de la UE.

Telemetría

Grafana Cloud, Alemania

Informes de errores

Sentry, región de la UE en Fráncfort

Los proveedores de datos de blockchain y de atribución de direcciones reciben solo las direcciones de billeteras que consultamos, y algunos de ellos están fuera de la Unión Europea: no reciben códigos de sujeto ni tipos de relación.

Trabajamos con un número reducido de proveedores de infraestructura, de datos de blockchain y de atribución de direcciones. La lista con sus nombres, con la función y la ubicación de cada uno, se entrega a los clientes con el contrato y a las empresas en una revisión de debida diligencia, bajo un acuerdo de confidencialidad.

ISO 27001 y SOC 2

Todavía sin certificado.

Prueba de penetración independiente

Todavía no se ha hecho. Va primero, y empieza por el aislamiento de clientes, la exportación de informes y el control de acceso.

Orden de trabajo

Primero la prueba de penetración, después ISO 27001. SOC 2 cuando un cliente lo pida por escrito.

• Acuerdo de tratamiento de datos según el artículo 28 del RGPD Todavía no
• Cláusulas contractuales de DORA: aviso de incidentes, derecho de auditoría, plan de salida y consentimiento previo para subcontratar Todavía no
• Respuestas a los cuestionarios SIG Lite y CAIQ Lite Todavía no
• Un extracto del registro de auditoría de su empresa

Pida cualquiera de ellos por el formulario de solicitud.

Sin solicitud, ahora mismo: un informe de ejemplo y un expediente de ejemplo con datos inventados.

• Informe de ejemplo ↗ (se abre en una pestaña nueva) PDF · inglés · 593 kB
• Expediente de ejemplo ↗ (se abre en una pestaña nueva) PDF · inglés · 275 kB