Anexo de seguridad

Esta traducción reproduce de forma idéntica la numeración y la estructura de la versión inglesa 0.1. La versión inglesa vigente ya no contiene variables de redacción en este documento; esta traducción tampoco.

Anexo de seguridad

El presente Anexo de seguridad describe las medidas técnicas y organizativas que Virtik USA, Inc. aplica a la plataforma Virtik. Complementa las Condiciones (LEG-001), el DPA (LEG-010) y cualquier Contrato marco de servicios (LEG-011) u Order Form (LEG-012) que se remita a él. Es deliberadamente breve: enuncia únicamente las medidas que Virtik puede respaldar y enuncia lo que Virtik no manifiesta. Los términos en mayúscula inicial que no se definen aquí tienen el significado que les atribuyen las Condiciones (LEG-001).

1. Lo que este documento no afirma

Se expone en primer lugar, porque son las afirmaciones que con más frecuencia se atribuyen a un anexo de seguridad.

1.1 Virtik no posee actualmente atestación SOC 2, certificación ISO 27001, certificación de cumplimiento de HIPAA ni autorización FedRAMP, y no manifiesta poseerlas. Cuando las obligaciones propias del Cliente exijan una certificación que Virtik no posee, corresponde al Cliente determinar si la plataforma resulta adecuada para su uso.

1.2 No se ofrece ningún informe de auditoría de un tercero. La sección 7 expone la posición sobre auditoría.

1.3 No se ofrece ningún resultado de prueba de penetración, ni se compromete ninguna periodicidad de pruebas.

1.4 No se manifiesta ninguna cobertura de seguro.

1.5 Ningún servicio puede garantizarse seguro. El presente Anexo describe medidas; no garantiza un resultado. Se aplica la sección 20 de las Condiciones.

1.6 Virtik no manifiesta que el Servicio posea una autorización StateRAMP ni que cumpla la Política de seguridad de los Servicios de Información de Justicia Penal (CJIS) del FBI, que Virtik supervise el Servicio de forma ininterrumpida, que el Servicio alcance ningún nivel de disponibilidad o de tiempo de actividad, ni que Virtik ofrezca ninguna región de alojamiento ni ningún compromiso de residencia de los datos.

2. Inventario de medidas

2.1 Medidas expuestas según su configuración

Son las medidas que proporcionan la implementación y la configuración del Servicio, expuestas tal como están configuradas. No representan el estado desplegado de ningún entorno concreto. El Apéndice 6 del DPA enumera las mismas medidas.

2.2 Cuestiones no manifestadas

Virtik no efectúa en este Anexo ninguna manifestación sobre: el cifrado en reposo y la gestión de claves; si se conservan copias de seguridad, con qué frecuencia y durante cuánto tiempo, y los objetivos de restauración; las ubicaciones y regiones de alojamiento; la periodicidad de las pruebas de penetración; el estándar de verificación de antecedentes del personal; la periodicidad de la formación en seguridad; la gestión de vulnerabilidades y la periodicidad de los parches; la continuidad de la actividad y la recuperación ante desastres, incluidos los objetivos de recuperación; la seguridad física de las ubicaciones de alojamiento; el ciclo de desarrollo seguro y la revisión de código; el período de conservación de los registros; la gestión de los dispositivos del personal con acceso a producción; ni la rotación de claves. Virtik enuncia una medida únicamente mediante una nueva versión del presente Anexo. Nada en la presente sección 2.2 ni en la sección 1 limita la obligación prevista en la cláusula 6.1 del DPA de adoptar las medidas que el artículo 32 del RGPD (o la disposición equivalente de otra legislación aplicable) exige a un Encargado del tratamiento, y el presente Anexo no declara que todas esas medidas estén implantadas.

3. Control de acceso y personal

3.1 Virtik no efectúa en este Anexo ninguna manifestación sobre cómo se concede, revisa o registra el acceso a los sistemas de producción.

3.2 Los compromisos de Virtik sobre la confidencialidad y el acceso del personal figuran en la sección 5 del DPA.

3.3 Virtik no efectúa ninguna manifestación sobre la verificación de antecedentes del personal ni sobre la periodicidad de la formación en seguridad.

4. Responsabilidades del Cliente

La seguridad de la plataforma es compartida, y esta sección no es una cláusula de exención: es la mitad de la superficie de control a la que Virtik no puede llegar.

4.1 El Cliente es responsable de:

(a) la seguridad de los Sistemas del Cliente, incluidas cámaras, sensores, sistemas de control de acceso, radios, dispositivos móviles y redes;

(b) la higiene de las credenciales, incluida la no compartición de las credenciales de los Usuarios autorizados;

(c) la configuración de permisos dentro de su Organización y su revisión cuando las personas se incorporan, cambian de puesto o se marchan;

(d) la habilitación y exigencia de la autenticación multifactor para sus propios usuarios cuando la plataforma la ofrezca;

(e) la gestión de los dispositivos que acceden al Servicio;

(f) la decisión sobre qué datos se introducen en la plataforma y quién puede verlos;

(g) la retirada sin demora del acceso a las personas que ya no lo necesitan.

4.2 Una configuración incorrecta por parte del Cliente que exponga Datos del Cliente dentro de su propia Organización no constituye un Incidente de seguridad.

5. Incidentes de seguridad

5.1 Virtik notificará al Cliente sin demora indebida tras confirmar un Incidente de seguridad, según define ese término las Condiciones, y, respecto de los Datos Personales del Cliente, conforme a la sección 10 del DPA. Virtik confirma un Incidente de seguridad cuando, actuando con razonabilidad y sin retrasar su investigación, determina que el Incidente de seguridad se ha producido o considera razonablemente, conforme dispone la sección 1.17 de las Condiciones, que se ha producido.

5.2 Objetivo operativo de notificación. Cuando sea razonablemente factible, el objetivo de Virtik es dar ese aviso dentro de las 72 horas siguientes a la confirmación del Incidente de seguridad. Ese plazo es únicamente un objetivo operativo de notificación. No constituye una garantía contractual incondicional ni una garantía de ningún tipo, y un aviso dado transcurridas 72 horas no constituye por sí solo un incumplimiento del Contrato. La sección 19.5 de las Condiciones y la sección 10 del DPA establecen la posición.

5.3 Un intento fallido, o un suceso que no comprometa la seguridad de los Datos del Cliente —incluidos los pings, los barridos de puertos, los inicios de sesión fallidos y los intentos de denegación de servicio que no den lugar a acceso— no constituye un Incidente de seguridad.

5.4 La notificación no constituye reconocimiento de culpa ni de responsabilidad.

5.5 Comunique cualquier vulnerabilidad o incidente que sospeche a security@virtik.ai. El Cliente no debe divulgar públicamente una vulnerabilidad sospechada antes de que Virtik haya tenido una oportunidad razonable de subsanarla.

5.6 El aviso de Virtik al Cliente es independiente de cualquier notificación que el Cliente deba dar a una autoridad reguladora, a personas físicas o a otros. Esas obligaciones y los plazos en que deben cumplirse se determinan por la legislación aplicable, corren desde el conocimiento propio del Cliente y son responsabilidad del Cliente.

5.7 Virtik no efectúa ninguna manifestación sobre un procedimiento de respuesta a incidentes, una cobertura de guardia, una capacidad forense ni las herramientas que utiliza para detectar un Incidente de seguridad, y no indica ningún plazo de respuesta a una comunicación efectuada conforme a la sección 5.5.

6. Subencargados y alojamiento

6.1 Virtik recurre a terceros para alojar, almacenar, tratar y facturar por su cuenta. La Lista de subencargados (LEG-009) los clasifica como subencargados, proveedores de infraestructura, el procesador de pagos, proveedores que suministra el Cliente y servicios cuyo uso Virtik no ha verificado.

6.2 El inventario vigente es la Lista de subencargados (LEG-009).

6.3 Virtik no designa ninguna región de alojamiento.

6.4 La residencia de los datos no se ofrece como compromiso (DPA, sección 15.4).

7. Auditoría y aseguramiento

7.1 Virtik pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento del presente Anexo, principalmente a través de este documento y de respuestas a cuestionarios de seguridad razonables. Una respuesta a un cuestionario es únicamente información. No es una manifestación sobre una medida que la sección 2.1 no enuncie, y siguen aplicándose la sección 2.2 del presente Anexo y la sección 19.2 de las Condiciones.

7.2 Los derechos de auditoría relativos a datos personales figuran en la sección 14 del DPA y no se modifican aquí.

7.3 Ningún otro derecho de auditoría. Virtik no concede ningún derecho de auditoría más allá de las secciones 7.1 y 7.2 y de las condiciones de la sección 14 del DPA. No existe ningún informe de un tercero, y Virtik no concede una auditoría de su infraestructura multiinquilino de un modo que pudiera afectar a otros clientes.

8. Modificaciones

8.1 Virtik podrá actualizar el presente Anexo siempre que el nivel de protección no se reduzca sustancialmente.

8.2 Una reducción sustancial exige preaviso conforme al contrato aplicable y, cuando resulte de aplicación el Contrato marco de servicios, su sección 11.4 puede otorgar al Cliente un remedio.

Idioma. Esta traducción se proporciona únicamente para facilitar su consulta. En caso de conflicto, prevalecerá la versión en inglés, salvo que la legislación aplicable disponga lo contrario.

Historial de versiones

FIN DEL DOCUMENTO