La seguridad en RoundUp

RoundUp administra la asistencia, la facturación, los mensajes y las inscripciones de los centros de cuidado infantil, por lo que guarda información sobre niños pequeños y sus familias. Esta página explica cómo la protegemos, lo que todavía no hacemos y cómo comunicarse con nosotros por un problema de seguridad.

1. En resumen

• Alojado en Amazon Web Services, en la región us-west-2 (Oregón)
• Cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256)
• Acceso a producción limitado a un pequeño grupo de ingenieros que usan autenticación multifactor basada en hardware
• No se almacenan números de tarjetas ni de cuentas bancarias: los pagos se tokenizan a través de Stripe
• Las integraciones envían lo mínimo que necesitan, y nunca información de un niño a menos que la integración exista para eso
• Todavía no tenemos un informe SOC 2. El trabajo de preparación está en curso

2. Alojamiento y disponibilidad

RoundUp funciona con servicios administrados de AWS —Lambda, DynamoDB y S3— que replican los datos en varias zonas de disponibilidad de us-west-2. CloudFront sirve los portales web. La conmutación por error entre regiones está planeada, pero aún no está implementada.

Nuestro objetivo de disponibilidad es del 99.9% en todos los planes. Los planes Multi-Site incluyen un SLA por escrito con condiciones de créditos; los planes de una sola sede son de mejor esfuerzo (vea nuestros términos).

3. Protección de los datos

• En tránsito: todas las conexiones con RoundUp usan TLS 1.2 o superior
• En reposo: las bases de datos, el almacenamiento de archivos y las copias de seguridad se cifran con AES-256
• Secretos: las claves de API y las credenciales de las integraciones se guardan en AWS Secrets Manager, nunca en el código ni en archivos de configuración. Los tokens de las integraciones permanecen en nuestros servidores y nunca llegan a un navegador
• Pagos: los datos de las tarjetas y cuentas bancarias van directamente a Stripe. Nunca vemos ni almacenamos números de tarjetas, números de cuentas bancarias ni códigos CVC
• En los dispositivos: las apps de RoundUp guardan los tokens de inicio de sesión en el almacenamiento seguro del teléfono (Keychain en iOS y almacenamiento respaldado por Keystore en Android)

4. Control de acceso

Para los centros

• Las cuentas se crean por invitación de un centro. No hay registro público
• Las funciones determinan lo que ve cada persona: los directores, los maestros y las familias solo ven su propio centro, salón o familia
• Se exigen contraseñas seguras. El inicio de sesión único (SAML/OIDC, incluidos Okta, Microsoft Entra, Google Workspace y Auth0) está disponible en los planes Enterprise

Dentro de RoundUp

• El acceso a producción se limita a un pequeño grupo de ingenieros autorizados, cada uno autenticado con MFA basada en hardware, y cada acceso queda registrado
• El acceso a AWS usa funciones con los permisos más restringidos que podemos definir. Evitamos las claves de acceso de larga duración en las rutas de producción

5. Datos de los niños

Cada centro es dueño de los registros de los niños y las familias que atiende, y los controla. Nosotros los tratamos en nombre del centro, como se describe en nuestra política de privacidad y en nuestra política de privacidad de los datos estudiantiles.

• Solo recopilamos lo que se necesita para administrar el centro. No vendemos información personal y no usamos datos de los niños, las familias ni el personal para publicidad ni para entrenar modelos de inteligencia artificial
• Cualquier vía que pudiera exponer el nombre, la foto, la fecha de nacimiento o la asistencia de un niño a alguien fuera de su centro se trata como crítica, sin importar su puntuación técnica de gravedad
• Los padres que quieran revisar, corregir o eliminar la información de su hijo/a deben empezar por su centro, y nosotros ayudamos al centro a atender la solicitud

6. Integraciones

Las integraciones opcionales permanecen desactivadas hasta que un centro las activa, y cada una envía solo lo que necesita. Nuestra política de privacidad indica cada proveedor de servicios y lo que recibe cada uno.

Salesforce

• Se conecta con OAuth 2.0, usando PKCE y un estado firmado en cada conexión, y solo los permisos api y refresh_token
• Los tokens se guardan cifrados en nuestros servidores. Verificamos que cada dirección de organización sea un dominio de Salesforce antes de llamarla
• La sincronización es en un solo sentido y solo afecta los registros de clientes potenciales (Lead). No lee nada de vuelta, no envía información sobre niños y nunca sobrescribe las notas escritas en Salesforce
• Al desconectar la integración se revoca nuestro acceso en Salesforce y se elimina nuestra copia del token

Detalles de configuración: guía de configuración de Salesforce (en inglés).

7. Monitoreo, copias de seguridad e incidentes

• Monitoreo continuo con alarmas de Amazon CloudWatch y AWS GuardDuty, que alertan a nuestro equipo
• Copias de seguridad automáticas diarias y recuperación a un momento dado para los datos principales
• Un procedimiento escrito de respuesta a incidentes. Si un incidente afecta la información de un centro, avisamos al director del centro por correo electrónico sin demoras indebidas y dentro de cualquier plazo que exija la ley

8. Cómo desarrollamos

• Cada cambio se revisa antes de publicarse, y se ejecutan verificaciones automáticas en cada cambio
• El escaneo de secretos (gitleaks) se ejecuta antes de que el código salga de la computadora de un desarrollador y de nuevo en la integración continua
• Las dependencias se monitorean y actualizan automáticamente, y las vulnerabilidades conocidas se corrigen con prontitud
• Realizamos escaneos periódicos de vulnerabilidades en nuestros propios servicios

9. Cumplimiento y documentos

• Política de privacidad, incluidos los avisos sobre COPPA y los avisos de privacidad estatales
• Política de privacidad de los datos estudiantiles
• Términos del servicio
• SOC 2: todavía no. El trabajo de preparación está en curso, y lo indicaremos aquí cuando haya un informe disponible
• Cuestionarios de seguridad: disponibles para los clientes Enterprise bajo un acuerdo de confidencialidad, junto con una revisión de la arquitectura. Solicítelos a security@roundupece.com

10. Cómo reportar una vulnerabilidad

Escriba a security@roundupece.com. Por favor, no reporte vulnerabilidades en público. Si su hallazgo expone información de un niño, escriba URGENT en el asunto.

• Díganos qué encontró, dónde y cómo reproducirlo. Una captura de pantalla o una captura de la solicitud ayuda
• Confirmamos la recepción de los reportes en un plazo de 48 horas y enviamos una evaluación inicial en un plazo de 5 días hábiles, con actualizaciones al menos cada 7 días hasta que se corrija
• Plazos de corrección: crítica en 14 días, alta en 30 y media en 60
• Damos crédito a los investigadores que lo deseen. No tenemos un programa de recompensas pagadas

Puerto seguro

No emprenderemos acciones legales contra la investigación de buena fe que respete la privacidad de las personas, use solo cuentas que le pertenezcan o que tenga permiso para probar, evite dañar datos o degradar el servicio, y nos dé una oportunidad razonable de corregir el problema antes de divulgarlo. Las pruebas de denegación de servicio, los escaneos automatizados y los intentos de fuerza bruta contra producción no están permitidos; pregúntenos primero y prepararemos un entorno de prueba.

Datos de contacto legibles por máquina: /.well-known/security.txt.