Seguridad y confianza

Vigente desde el 2026-10-06 · traducción al español; prevalece la versión checa

Las empresas presentes en Negotiq confían a los agentes sus precios, sus condiciones y sus decisiones comerciales. El presente documento describe cómo protegemos la Plataforma, cómo puede usted mismo verificar la integridad de los registros, cómo gestionamos los incidentes y cómo comunicarnos una vulnerabilidad. Tiene carácter informativo; las medidas vinculantes para el tratamiento de datos personales se establecen en el Anexo 1 del Contrato de Encargo del Tratamiento. Los términos escritos con mayúscula inicial tienen el significado que se les atribuye en las Condiciones Generales.

Certificaciones: El Operador todavía no dispone de la certificación ISO/IEC 27001, de un informe SOC 2 ni de ninguna otra certificación de seguridad. Ambas están previstas. Hasta entonces, previa solicitud, le facilitaremos información más detallada o cumplimentaremos un cuestionario de seguridad razonable.

1. Lo que la Plataforma no hace

• No custodia dinero. El Operador no recibe, no custodia ni transfiere fondos de las partes de los Acuerdos y no presta servicios de pago; los pagos van directamente de la cuenta del Comprador a la cuenta del Proveedor. La Plataforma se limita a mostrar instrucciones de pago y a llevar registros (artículo 7 de las Condiciones Generales).
• No entrena modelos con sus datos. No utilizamos el Contenido del Usuario para entrenar modelos de inteligencia artificial; con arreglo a su contrato, el proveedor del modelo generativo tampoco lo utiliza para entrenamiento.
• No deja negociar a la IA generativa. Los Agentes son reglas deterministas; el modelo generativo se limita a convertir listas de precios no estructuradas y una persona revisa siempre el resultado (declaración sobre gobernanza de la inteligencia artificial).
• No le rastrea. Ni la aplicación ni las páginas legales cargan código analítico, publicitario o de seguimiento, ni fuentes o scripts de terceros. El idioma de la página se determina según la configuración de su navegador, sin consultar ningún otro servicio.
• No vende datos. No vendemos datos personales ni comerciales; las referencias de mercado solo se publican de forma anonimizada y agregada a partir de acuerdos de al menos dos Proveedores distintos.

2. Acceso y cuentas

• Todas las comunicaciones con la Plataforma están cifradas mediante HTTPS (TLS).
• Las contraseñas se almacenan únicamente en forma de hash Argon2id. Los códigos de recuperación, las sesiones y las claves API se almacenan únicamente en forma de hash criptográfico; una clave API solo se muestra en el momento de su creación.
• La cookie de sesión es HttpOnly, Secure y SameSite=Lax; en las solicitudes que modifican datos comprobamos la cabecera Origin (protección contra CSRF).
• Tras 5 intentos fallidos de inicio de sesión, la cuenta se bloquea durante 15 minutos; el cambio de contraseña cierra la sesión en todos los dispositivos. La API está sujeta a límites de frecuencia de solicitudes.
• Quién puede hacer qué se determina mediante los roles que asigna el Administrador de la Organización (por ejemplo, el permiso para aprobar Ofertas). El Administrador de la Organización crea, nombra y revoca las claves API y puede consultar los registros de auditoría de la Organización.

3. Separación de clientes

Todo acceso a los datos está limitado a la Organización del Usuario que ha iniciado sesión o de la clave API; la Plataforma rechaza cualquier solicitud de datos de otra Organización. Pruebas automatizadas verifican esta separación en cada cambio. Los datos de demostración se mantienen separados de los datos de empresas reales. Antes de la celebración de un Acuerdo, la contraparte no ve ni la identidad ni los límites de la otra parte.

4. Integridad y verificabilidad de los registros

• Cadena de Auditoría. Registramos las actuaciones relevantes en una cadena a la que solo pueden añadirse entradas. Cada entrada contiene el hash de la entrada anterior y un disparador (trigger) de la base de datos impide la modificación o supresión de entradas, de modo que cualquier manipulación es detectable.
• Firmas Ed25519. Los Mandatos, los Justificantes, los Registros AP2 (IntentMandate, CartMandate, PaymentMandate) y las exportaciones de la Cadena de Auditoría se firman con la clave de la Plataforma. La clave pública (algoritmo, clave e identificador de la clave) está disponible en https://app.negotiq.synqflows.com/api/trust/public-key y, en formato JWKS, en https://app.negotiq.synqflows.com/.well-known/jwks.json; los Registros AP2 llevan firmas en formato JWS (EdDSA). Las firmas de los Mandatos, los Justificantes y los Registros AP2 también pueden comprobarse directamente a través de los puntos de verificación de la API.
• Comprobación pública. En https://app.negotiq.synqflows.com/api/trust/chain cualquier persona puede comprobar si la Cadena de Auditoría está intacta, incluido el último hash firmado; https://app.negotiq.synqflows.com/api/trust/status muestra que el entorno de producción no utiliza claves de firma ni de cifrado de desarrollo.
• Atestación custodiada. Los registros los firma el Operador con su propia clave, no con claves en poder de las partes. La firma acredita que el registro se originó en la Plataforma y que no ha sido modificado desde su firma; por sí sola no acredita que una parte lo haya firmado: la vinculación con la persona que actúa la proporcionan el inicio de sesión, los roles y la Cadena de Auditoría. Cuando rotemos la clave, publicaremos la nueva clave con un nuevo identificador y mantendremos disponibles las claves públicas anteriores para verificar los registros más antiguos.
• Webhooks. Las notificaciones se firman con HMAC-SHA256 conforme a la especificación Standard Webhooks (cabeceras webhook-id, webhook-timestamp, webhook-signature). Verifique tanto la firma como la antigüedad del mensaje y mantenga el secreto fuera del código fuente.

5. Protección de datos

• Cifrado en tránsito (TLS) y en reposo en el proveedor de alojamiento.
• Las credenciales de acceso a sistemas conectados (ERP) y los secretos de firma de los Webhooks se cifran con AES-256-GCM. Las credenciales solo se utilizan para obtener la lista de precios por instrucción de un Usuario; recomendamos crear para la conexión un usuario específico con acceso de solo lectura y con los permisos mínimos necesarios.
• Los archivos adjuntos solo se aceptan en formatos y tamaños permitidos, solo se facilitan a personas autorizadas y siempre como descarga, nunca para su visualización en el navegador.
• Los mensajes enviados a la Dirección de Recepción solo se importan automáticamente si proceden de Remitentes Verificados; los demás quedan a la espera de confirmación en la aplicación. El remitente, el asunto, el momento de recepción y los archivos adjuntos se suprimen transcurridos 90 días.
• Los Agentes no interpretan el contenido de listas de precios, especificaciones, archivos adjuntos ni correos electrónicos como instrucciones (protección contra la inyección de instrucciones, denominada «prompt injection»).
• Respecto de los proveedores potenciales, solo conservamos contactos genéricos de empresas.

6. Operación, copias de seguridad y registros

• La aplicación y la base de datos funcionan en el proveedor de alojamiento indicado en el apartado 9. La base de datos se copia periódicamente; las copias de seguridad se sobrescriben en el ciclo ordinario en un plazo máximo de 90 días.
• Los registros operativos (incluidas las direcciones IP) y los registros de entrega de Webhooks se conservan como máximo 90 días, y las entradas de la Cadena de Auditoría, 10 años.
• El acceso al entorno de producción está limitado al personal autorizado del Operador sujeto a confidencialidad.
• Las dependencias están fijadas en versiones exactas. En cada cambio comprobamos automáticamente los invariantes de seguridad: la separación de las Organizaciones, el respeto de los límites de los Agentes y la confidencialidad de los precios máximos y de los mínimos.

7. Incidentes y notificación de violaciones

1. Evaluamos cada incidente de seguridad, contenemos su impacto, eliminamos su causa y lo documentamos.
2. Informamos a los clientes afectados sin dilación indebida. Notificamos al Responsable cualquier violación de la seguridad de los datos personales que tratemos como encargados del tratamiento a más tardar en el plazo de 48 horas desde que tengamos conocimiento de ella (artículo 5 del Contrato de Encargo del Tratamiento).
3. Cuando somos responsables del tratamiento, notificamos las violaciones de la seguridad de los datos personales a la Oficina checa de Protección de Datos Personales en el plazo de 72 horas desde que tengamos conocimiento de ellas, salvo que sea improbable que constituyan un riesgo para los derechos y libertades de las personas físicas (art. 33 del RGPD); si el riesgo es alto, informamos también a las personas afectadas sin dilación indebida (art. 34 del RGPD).
4. Una vez cerrado un incidente, facilitamos a los clientes afectados que lo soliciten un resumen de sus causas y de las medidas adoptadas.

8. Comunicación de vulnerabilidades

Le rogamos que nos comunique cualquier vulnerabilidad a inquiry@negotiq.synqflows.com. Los contactos y las reglas también figuran en el archivo legible por máquina https://app.negotiq.synqflows.com/.well-known/security.txt.

• Incluya una descripción de la vulnerabilidad, la dirección o interfaz afectada, los pasos para reproducirla y el posible impacto; puede comunicarse con nosotros en checo o en inglés.
• Acusaremos recibo de su comunicación sin dilación indebida, le mantendremos informado de los avances y, con su consentimiento, le daremos públicamente las gracias tras la corrección. No pagamos recompensas económicas (bug bounty).
• Reglas: realice pruebas únicamente con sus propias cuentas y datos; acceda a datos de otras personas solo en la medida necesaria para demostrar la vulnerabilidad, no modifique ni suprima nada y no conserve los datos obtenidos; no lleve a cabo ataques de denegación de servicio (DoS), ingeniería social, phishing ni ataques físicos; no envíe mensajes masivos a las Direcciones de Recepción; no divulgue la vulnerabilidad hasta que la hayamos corregido o hasta que hayan transcurrido 90 días desde su comunicación, salvo que acordemos otra cosa.
• Puerto seguro: Consideramos autorizada la investigación realizada de buena fe y de conformidad con estas reglas, y consentimos el acceso dentro de ese alcance. No emprenderemos acciones legales contra usted ni presentaremos denuncia penal y, si un tercero iniciara tales acciones, confirmaremos que usted actuó de conformidad con estas reglas. No podemos otorgar el consentimiento en nombre de terceros (por ejemplo, el proveedor de alojamiento o los Servicios de Terceros).

9. Ubicación de los datos y subencargados del tratamiento

La lista vinculante y las reglas aplicables a los cambios (aviso con al menos 14 días de antelación y derecho de oposición) figuran en el Contrato de Encargo del Tratamiento (artículo 4). Los sistemas elegidos por la Organización (ERP, feeds de productos, puntos de destino de Webhooks, agentes de terceros) no son encargados nuestros; les transmitimos datos por instrucción de la Organización.

10. Continuidad del servicio

Procuramos una disponibilidad continua, pero sin un acuerdo de nivel de servicio (SLA) pactado por escrito no garantizamos ningún nivel de disponibilidad ni ningún tiempo de recuperación. Realizamos copias de seguridad periódicas de la base de datos y anunciamos con antelación el mantenimiento programado cuando es posible. Puede exportar en cualquier momento y de forma gratuita los datos de su Organización (JSON), así como descargar los Justificantes y los Registros AP2 y verificarlos con la clave pública incluso sin acceso a la Plataforma.

11. Contacto

• Seguridad y vulnerabilidades: inquiry@negotiq.synqflows.com
• Protección de datos: inquiry@negotiq.synqflows.com
• Otras consultas y punto de contacto conforme al Reglamento de Servicios Digitales: inquiry@negotiq.synqflows.com