Seguridad

1. Principios rectores

• Privacidad por diseño y por defecto, conforme al artículo 25 del RGPD.
• Mínimo privilegio: ningún sistema o persona accede a más datos de los estrictamente necesarios.
• Defensa en profundidad: capas independientes de protección en red, aplicación y datos.
• Trazabilidad completa: cada acceso y cada cambio queda registrado y auditado.

2. Cifrado

Toda la información se protege con cifrado estándar de la industria, tanto en tránsito como en reposo:

• En tránsito: TLS 1.2+ con cifrados modernos (AEAD) en todas las comunicaciones HTTP, telefonía SIP/TLS y conexiones a sistemas de cliente.
• En reposo: AES-256 sobre bases de datos, almacenamiento de grabaciones y backups.
• Gestión de claves: rotación periódica y custodia en módulos de gestión de claves (KMS) de proveedores cloud certificados ISO 27001 y SOC 2.
• Secretos: credenciales y tokens almacenados en bóvedas cifradas, nunca en código fuente ni en repositorios.

3. Control de acceso

• Autenticación multifactor (MFA) obligatoria para todo el personal con acceso a sistemas productivos.
• Acceso basado en roles (RBAC) y revisado trimestralmente.
• Sesiones administrativas registradas y monitorizadas en tiempo real.
• Equipos de trabajo con cifrado de disco completo, MDM y políticas de bloqueo automático.

4. Infraestructura

Nuestra arquitectura se apoya en proveedores cloud líderes con certificaciones internacionales (ISO/IEC 27001, SOC 2 Type II, ISO/IEC 27018) y centros de datos preferentemente ubicados en la Unión Europea. Los entornos de desarrollo, preproducción y producción están estrictamente segregados, con despliegues automatizados, revisión de código por pares y análisis estático de seguridad (SAST/DAST).

5. Protección de las llamadas y datos de voz

• Las grabaciones se cifran inmediatamente tras su captura y se almacenan separadas de los metadatos del cliente.
• Aplicamos políticas de retención mínima: las transcripciones y grabaciones se conservan únicamente durante el plazo necesario para la prestación del servicio o el cumplimiento de obligaciones legales.
• Los modelos de IA conversacional se entrenan sobre datos anonimizados o sintéticos; nunca utilizamos las conversaciones reales de un cliente para entrenar modelos compartidos con terceros.

6. Continuidad y recuperación

• Copias de seguridad cifradas, automatizadas y geo-redundantes.
• Pruebas periódicas de restauración y planes de continuidad de negocio.
• Monitorización 24/7 con alertas automáticas sobre disponibilidad y anomalías de seguridad.

7. Cumplimiento normativo

Operamos en conformidad con el Reglamento (UE) 2016/679 (RGPD), la LOPDGDD y las disposiciones aplicables del Reglamento Europeo de Inteligencia Artificial (AI Act). Formalizamos acuerdos de encargado del tratamiento con todos nuestros clientes y subencargados, y aplicamos Cláusulas Contractuales Tipo cuando existen transferencias internacionales de datos.

Consulte también nuestra Política de Privacidad y nuestros Términos y Condiciones.

8. Personal y formación

• Acuerdos de confidencialidad firmados por todo el equipo y colaboradores.
• Formación continua en protección de datos, ingeniería social y desarrollo seguro.
• Verificación de antecedentes para perfiles con acceso a entornos sensibles.

9. Gestión de incidentes

Disponemos de un protocolo formal de respuesta a incidentes que contempla detección, contención, erradicación y comunicación. En caso de brecha de seguridad que afecte a datos personales, notificaremos a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas y, en su caso, a los interesados, conforme al artículo 33 del RGPD.

10. Reporte responsable de vulnerabilidades

Si ha identificado una posible vulnerabilidad en nuestros sistemas, agradecemos su comunicación a través de un canal seguro. Para ello, contáctenos en hola@voxacorp.com indicando en el asunto «Reporte de vulnerabilidad».

Le pedimos que, en su comunicación inicial:

• Describa con detalle el hallazgo y los pasos para reproducirlo.
• Evite acceder, modificar o exfiltrar información que no sea estrictamente necesaria para demostrar el problema.
• No haga pública la vulnerabilidad hasta que hayamos confirmado su mitigación.

Nos comprometemos a acusar recibo en un plazo de 48 horas, a mantenerle informado del progreso y a reconocer públicamente su contribución si así lo desea.

11. Contacto

Para cualquier consulta sobre nuestra postura de seguridad, escríbanos a hola@voxacorp.com.