1. Nuestro compromiso
BRUTAL CORP S.A.S. adopta medidas técnicas, administrativas y humanas razonables, acordes con el tamaño de su operación y con el tipo de información que trata, para proteger la confidencialidad, integridad y disponibilidad de la información del Servicio. Esta política describe esas medidas de forma general, sin revelar detalles que puedan comprometer la seguridad.
2. Medidas principales
- Cifrado en tránsito: todas las conexiones con blooma.io y app.blooma.io usan HTTPS/TLS.
- Protección de credenciales: la autenticación la gestiona un proveedor especializado, con soporte de verificación en dos pasos y gestión de sesiones activas. Blooma no almacena contraseñas en texto plano.
- Tokens de integraciones: los tokens de Meta y Google se almacenan cifrados.
- Aislamiento entre Organizaciones: cada consulta se limita a la Organización activa de la sesión, con controles y pruebas automatizadas que verifican que una Organización no accede a datos de otra.
- Control de acceso por roles: los permisos se resuelven por Plan y por rol del Usuario.
- Registros de auditoría: se registran acciones relevantes como cambios de suscripción, de permisos y de integraciones.
- Copias de seguridad periódicas y procedimientos de restauración.
- Monitoreo de errores y disponibilidad.
- Acceso interno restringido: solo el personal autorizado que lo necesita para operar o dar soporte accede a sistemas de producción, bajo deber de confidencialidad.
3. Responsabilidad compartida
La seguridad también depende de los Usuarios. El Suscriptor y sus Usuarios son responsables de:
- proteger sus credenciales, activar la verificación en dos pasos y cerrar sesión en dispositivos compartidos;
- asignar roles con el menor privilegio necesario y retirar a tiempo a quienes ya no deban tener acceso;
- custodiar los enlaces y contraseñas del portal de cliente: el portal está diseñado para que cualquier persona con el enlace o la contraseña pueda entrar, por lo que el Suscriptor debe compartirlos solo con quien corresponda y revocarlos si se filtran;
- mantener actualizados sus dispositivos, navegadores y la app móvil;
- no cargar información que no necesite, especialmente datos sensibles o de pago.
Blooma no responde por incidentes causados por el incumplimiento de estas responsabilidades.
4. Gestión de incidentes
Ante un incidente de seguridad, Blooma lo contendrá, investigará y corregirá; informará a los Suscriptores y titulares afectados cuando corresponda; y lo reportará a la Superintendencia de Industria y Comercio en los casos y plazos que exija la ley. Ningún sistema es completamente invulnerable y Blooma no puede garantizar seguridad absoluta.
5. Divulgación responsable de vulnerabilidades
Si encuentra una vulnerabilidad, repórtela a info@blooma.io con el asunto «Reporte de seguridad», con una descripción y los pasos para reproducirla. Le pedimos:
- no acceder, modificar ni borrar datos de otros usuarios, y usar solo cuentas propias o de prueba;
- no realizar pruebas de denegación de servicio, ingeniería social, spam ni ataques físicos;
- no divulgar la vulnerabilidad hasta que Blooma la haya corregido o hayan pasado noventa (90) días desde el reporte;
- cumplir la ley en todo momento.
Blooma no emprenderá acciones legales contra investigadores que actúen de buena fe y cumplan estas reglas. Blooma no tiene un programa de recompensas y cualquier reconocimiento queda a su discreción.