Seguridad

En Qontrol (operado bajo la razón social Grupo Codiaz S.A.S. de C.V.), concebimos la ciberseguridad, el resguardo criptográfico y la confidencialidad de la información como el pilar fundamental de nuestra arquitectura operativa. Entendemos que la gestión normativo-corporativa de nuestros clientes exige estándares de tolerancia cero ante brechas de datos, accesos no autorizados o contingencias operativas. Por ello, hemos desplegado un ecosistema informático SaaS B2B estructurado bajo el principio de Defensa en Profundidad (Defense-in-Depth) y Seguridad desde el Diseño (Security by Design & Default), diseñado para satisfacer los requerimientos más estrictos de auditoría, gobernanza y cumplimiento corporativo.

1. Arquitectura de Nube Distribuida y Proveedores de Infraestructura

Para erradicar puntos únicos de falla (SPOF) y garantizar un rendimiento óptimo de nivel empresarial, delegamos el procesamiento, autenticación y almacenamiento en proveedores de clase mundial sujetados a estrictos acuerdos de procesamiento de datos:

• Supabase Auth & PostgreSQL (Infraestructura AWS): Gestión de identidades, autenticación y base de datos relacional de alta disponibilidad sobre infraestructura Amazon Web Services (AWS). Implementa aislamiento lógico, encriptación nativa y redundancia multizona.
• Render Services, Inc.: Entorno aislado de ejecución para el motor backend y la API REST principal, garantizando separación de procesos, ejecución sin estado (stateless) y contenedores seguros.
• Cloudflare, Inc. (Red Perimetral): Escudo de protección perimetral, Firewall de Aplicaciones Web (WAF) avanzado, mitigación automática de ataques masivos de Denegación de Servicio Distribuido (DDoS capas 3, 4 y 7) y entrega acelerada mediante CDN global.
• Sentry (Functional Software Inc.): Telemetría y monitoreo activo de excepciones de software en tiempo real, permitiendo la detección temprana de anomalías, prevención de vulnerabilidades y auditoría continua en entornos de producción.

2. Cadena de Custodia, Inalterabilidad y Valor Probatorio de Evidencias

La información almacenada en Qontrol posee un altísimo valor estratégico y legal para el cumplimiento normativo de nuestros usuarios. Para asegurar su validez ante auditorías internas, inspecciones de autoridad o litigios, nuestra plataforma incorpora mecanismos de preservación de la prueba:

• Inalterabilidad Criptográfica: Cada reporte, fotografía y documento adjunto generado en campo es procesado con sellado de tiempo y firmas digitales asociadas a la identidad del usuario ejecutor.
• Trazabilidad Geográfica y Temporal (Geotagging): La recolección de evidencias fotográficas en aplicaciones móviles registra coordenadas GPS y metadatos del dispositivo de manera inalterable, impidiendo la manipulación remota o la falsificación de ubicación.
• Principios de No Repudio: Los registros de auditoría vinculan de forma inequívoca cada acción dentro de la plataforma a una cuenta autenticada, garantizando la trazabilidad integral del ciclo de vida del dato.

3. Autenticación Robusta, Identidad y Control de Accesos

Garantizamos que únicamente el personal expresamente autorizado por la organización cliente pueda acceder a la información confidencial mediante esquemas de autenticación multicapa:

• Cifrado Criptográfico de Credenciales: Las contraseñas jamás se almacenan ni transmiten en texto plano. Se resguardan mediante funciones de hash criptográfico unidireccional con salado adaptativo (Bcrypt con factor de costo 10).
• Autenticación de Múltiples Factores y Códigos Dinámicos (OTP): Para procedimientos sensibles, reactivaciones y recuperación de contraseñas, exigimos la verificación mediante códigos dinámicos de un solo uso de 8 dígitos con tiempo de caducidad estricto.
• Verificación Dual Corporativa: Cuando la cuenta de contacto corporativo difiere del correo del usuario administrador principal, el sistema exige la validación cruzada e independiente de ambas casillas para activar el entorno empresarial.
• Control de Sesión Única (Single Session Enforcement): Bloqueamos el uso compartido no autorizado de licencias e impedimos secuestros de sesión (Session Hijacking) mediante la invalidación automática de tokens previos al detectar un inicio de sesión simultáneo en un nuevo dispositivo.
• Políticas de Contraseñas Fuertes: Se fuerzan algoritmos de validación en frontend y backend exigiendo una longitud mínima y combinación obligatoria de caracteres alfanuméricos y símbolos especiales.

4. Controles Anti-Fraude, Protección Anti-Bot y Malla de Seguridad Fiscal

Incoporamos barreras proactivas para prevenir el uso indebido de la plataforma por parte de actores maliciosos o scripts automatizados:

• Evaluación de Riesgo Pasivo (Google reCAPTCHA v3): Analizamos continuamente las métricas de comportamiento durante el registro e inicio de sesión para detener ataques automatizados (credential stuffing) sin entorpecer la experiencia del usuario legítimo.
• Filtro Algorítmico de Correos Desechables: Mantenemos una lista negra de dominios temporales actualizada activamente para prevenir el registro de cuentas anónimas o spammers.
• Verificación de Legitimidad Fiscal (SAT Art. 69-B): Validamos la estructura matemática del Registro Federal de Contribuyentes (RFC) de las empresas y realizamos búsquedas automatizadas contra los listados oficiales de Empresas que Facturan Operaciones Simuladas (EFOS), protegiendo la red corporativa de Qontrol.
• Enfriamiento Exponencial (Rate Limiting): El sistema aplica límites de frecuencia en solicitudes sensibles (como el reenvío de OTPs) para mitigar vectores de ataque por fuerza bruta o saturación de canales SMTP.

5. Cifrado Estricto de Datos y Seguridad a Nivel de Software

La confidencialidad de la información de nuestros clientes está blindada mediante estándares criptográficos reconocidos a nivel internacional:

• Cifrado en Tránsito (In-Transit): Todo el canal de comunicación entre los clientes (web, app móvil en Expo y herramientas externas) y nuestros servidores opera forzosamente bajo cifrado HTTPS respaldado por protocolos TLS 1.3 con certificados gestionados por Cloudflare y Render.
• Cifrado en Reposo (At-Rest): Las bases de datos PostgreSQL y las carpetas de almacenamiento masivo de objetos en Supabase Storage aplican algoritmos de cifrado simétrico bajo el estándar **AES-256**.
• Inmunidad Total a Inyecciones SQL (SQLi): La totalidad de las interacciones con la base de datos se ejecutan mediante consultas parametrizadas y sentencias preparadas, neutralizando cualquier intento de inyección de código.
• Aislamiento Estricto de Clientes (Multi-Tenancy RLS): Implementamos políticas de Seguridad a Nivel de Fila (Row Level Security - RLS) en el motor de base de datos. Esto garantiza una separación lógica absoluta, impidiendo técnica y matemáticamente que cualquier cliente acceda, consulte o modifique la información de otra organización.
• Atributos de Seguridad en Cookies: Las cookies de sesión se emiten estrictamente con las banderas SameSite=Lax, HttpOnly y Secure activas bajo conexiones HTTPS.

6. Ciclo de Vida de Desarrollo Seguro (DevSecOps)

El software de Qontrol evoluciona constantemente mediante procesos de actualización continuos que priorizan la estabilidad e integridad del código fuente:

• Principio de Mínimo Privilegio (PoLP): El personal de ingeniería y desarrollo cuenta con accesos restringidos y autenticados con doble factor a los entornos de producción.
• Análisis de Código y Dependencias (SAST): Evaluamos periódicamente el código fuente y las librerías de terceros para identificar y parchear vulnerabilidades conocidas antes de liberar cambios en producción.
• Auditoría Interna de Modificaciones: Toda actualización requiere revisiones de código cruzadas y pruebas de integración antes de ser desplegada en la infraestructura en vivo.

7. Continuidad del Negocio, Redundancia y Recuperación ante Desastres (DRP)

Garantizamos la disponibilidad ininterrumpida de sus operaciones normativas mediante planes de contingencia probados de forma periódica:

• Respaldos Automatizados Diarios: La base de datos es respaldada automáticamente de forma diaria con copias cifradas almacenadas de manera redundante en múltiples zonas de disponibilidad geográfica.
• Transacciones ACID y Atomicidad: Los flujos de registro y escritura crítica operan bajo transacciones SQL atómicas. Ante cualquier falla de red o error de ejecución, el sistema revierte los cambios (ROLLBACK) impidiendo la corrupción o inconsistencia de datos.
• Conmutación por Error (Failover): Ante eventos de fuerza mayor o caídas de nodo en los centros de datos primarios, la capa perimetral redirige el tráfico hacia nodos alternativos, minimizando los Tiempos Objetivos de Recuperación (RTO) y Puntos Objetivos de Recuperación (RPO).

8. Trazabilidad de Auditoría, Retención y Purga Irreversible de Datos

Qontrol mantiene una política clara en cuanto al manejo del historial de operaciones y la disposición final de la información:

• Bitácoras de Consentimiento y Auditoría: Almacenamos registros detallados de aceptación de términos legales, versión de políticas, fecha, hora e IP para otorgar plena certeza jurídica en revisiones normativas.
• Retención Limitada de Telemetría: Los registros técnicos de errores y eventos de red recopilados para mantenimiento se depuran automáticamente tras un plazo máximo de 90 días naturales.
• Derecho al Olvido y Borrado Irreversible: Cuando un usuario o empresa solicita la cancelación definitiva de su cuenta, el sistema ejecuta rutinas automatizadas para la purga total e irreversible de todos sus registros, fotografías y evidencias en la infraestructura en la nube, salvo aquellos datos que deban conservarse por disposición legal o fiscal mexicana.

9. Cumplimiento Legal y Soberanía de la Información

Grupo Codiaz S.A.S. de C.V. es una entidad legalmente constituida bajo las leyes de los Estados Unidos Mexicanos. Operamos en pleno apego a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), garantizando el ejercicio irrestricto de los Derechos ARCO (Acceso, Rectificación, Cancelación y Oposición), la transparencia en transferencias con subencargados internacionales y la observancia de la normativa de comercio electrónico vigente.

10. Programa de Divulgación Responsable de Vulnerabilidades

En Qontrol valoramos y reconocemos las aportaciones de la comunidad de investigación en ciberseguridad para mantener la resiliencia de nuestro ecosistema. Si has descubierto una potencial vulnerabilidad de seguridad en nuestros servicios web, API o aplicaciones móviles, te solicitamos informarla de manera confidencial y coordinada.

Directrices de reporte:

Dirige un correo electrónico formal a legal@theqontrol.com incluyendo:

1. Resumen técnico y vector del hallazgo.
2. Pasos detallados para reproducir la vulnerabilidad (Proof of Concept - PoC).
3. Entornos, sistemas operativos o herramientas utilizadas.

Nos comprometemos a acusar recibo de tu reporte en un plazo máximo de 48 horas hábiles, evaluar el impacto, priorizar la mitigación correspondiente y abstenernos de iniciar acciones legales siempre que se respeten las políticas de divulgación responsable y la privacidad de los datos de nuestros clientes.