Saltar al contenido

Confianza

Cómo protegemos Route Royal

Tus clientes, negocios y documentos están en Route Royal, así que protegerlos forma parte del producto. Así es como lo hacemos, y esto es lo que todavía no afirmamos.

Habla con nosotros sobre seguridadInformar de una vulnerabilidad

  1. Una solicitud de tu equipo

  2. HTTPSCifrada por el camino
  3. Sesión iniciadaSabemos quién lo pide
  4. Tu organizaciónSus datos, no los de otros
  5. Permisos¿Puede hacer esto?
  6. ValidadaCada campo, comprobado
  7. Tus datosPermitida

Comprobada en cada parada y, después, dejada pasar.

Dónde estamos

Fieles a los estándares, honestos con los sellos

Seguimos los marcos que verás a continuación porque son buenas prácticas. Route Royal no tiene la certificación ISO 27001 ni ha pasado una auditoría SOC 2. Cuando eso cambie, lo diremos en esta página.

  • ISO/IEC 27001

    Nuestras políticas y controles de seguridad siguen la ISO 27001 y su Anexo A: riesgos, acceso, proveedores, operaciones, incidentes y continuidad.

    Seguido, no certificado

  • SOC 2

    Trabajamos según los Trust Services Criteria de seguridad, disponibilidad y confidencialidad.

    Seguido, no certificado

  • RGPD

    Tratamos los datos personales como debe hacerlo un encargado del tratamiento: solo siguiendo tus instrucciones, en virtud de un acuerdo de tratamiento de datos y respetando los derechos de las personas a las que se refieren.

    Seguido, no certificado

  • OWASP Top 10

    Desarrollamos la plataforma y su API para protegerlas de los riesgos más comunes de las aplicaciones web.

    Seguido, no certificado

Principios

Seis principios detrás de cada decisión

  1. 01

    Mínimo privilegio

    Las personas, los servicios y la IA solo obtienen el acceso que su tarea requiere, y lo pierden cuando la tarea termina.

  2. 02

    Defensa en profundidad

    Ningún control actúa solo. El cifrado, los permisos, la validación y la supervisión se respaldan entre sí.

  3. 03

    Seguro por defecto

    La opción segura es la de partida: HTTPS en todas partes, claves guardadas solo como hashes y cambios de la IA que esperan tu confirmación.

  4. 04

    Privacidad desde el diseño

    Los datos de cada organización se mantienen separados, y solo recogemos lo que el servicio necesita para funcionar.

  5. 05

    Deciden las personas

    Q prepara el trabajo, pero nada cambia hasta que la persona que lo pide lo confirma.

  6. 06

    Transparencia

    Decimos lo que hacemos y lo que no, y te avisamos enseguida cuando algo sale mal.

En la práctica

Cómo protegemos la plataforma

Los controles que hay detrás de esos principios, área por área.

En esta página
  1. Infraestructura
  2. Cifrado
  3. Seguridad de la aplicación
  4. Nuestro equipo
  5. Cómo construimos y cambiamos Route Royal
  6. Supervisión y respuesta
  7. La IA y tus datos

Infraestructura

  • Route Royal funciona sobre proveedores de nube consolidados, cuyos centros de datos tienen la certificación ISO 27001 y cuyos servicios se auditan según SOC 2 Type II.
  • La seguridad física de los centros de datos, del control de acceso a la vigilancia ininterrumpida, la gestionan esos proveedores y la cubren sus auditorías.
  • Nuestra base de datos funciona en un servicio gestionado con copias de seguridad automáticas.
  • La producción se mantiene separada del desarrollo y las pruebas, y nuestros servicios se ejecutan con usuarios sin privilegios.

Cifrado

  • Todas las conexiones con Route Royal usan HTTPS, y se indica a los navegadores que nunca se conecten de otra forma (HSTS).
  • Nuestros proveedores de bases de datos y de almacenamiento cifran los datos en reposo.
  • Las credenciales que nos das para los servicios conectados, como tu token de Sumsub, se cifran antes de guardarse.

Seguridad de la aplicación

  • Los datos de cada organización se mantienen separados. Cada solicitud se comprueba frente a la organización a la que va dirigida y los permisos de quien la hace.
  • Las claves de API se guardan solo como hashes, con un prefijo corto para que puedas distinguirlas. Las claves publicables son de solo lectura; las claves secretas se quedan en tu servidor.
  • Los webhooks se firman con un secreto propio de cada suscripción (HMAC-SHA256), para que puedas comprobar que vienen de nosotros.
  • Cada solicitud se valida, la API tiene límites de frecuencia y los navegadores reciben cabeceras de seguridad estrictas, incluida una política de seguridad de contenidos.

Pruébalo: lo que guardamos de una clave

Lo que guardamos

Prefijo
sk_demo_…
Hash SHA-256

Se calcula en tu navegador, así que nada de lo que escribes sale de esta página. Un hash no se puede convertir de nuevo en la clave, así que ni siquiera nosotros podemos leerla.

Nuestro equipo

  • El personal accede a los sistemas de producción y a los datos de clientes solo cuando su función lo requiere, y el acceso se revisa y se retira cuando deja de ser necesario.
  • Las cuentas del personal están protegidas con autenticación multifactor.
  • Todas las personas del equipo firman un acuerdo de confidencialidad y reciben formación en seguridad al incorporarse.
  • Solo miramos tus datos cuando nos lo pides para darte soporte, o cuando debemos hacerlo para mantener la seguridad del servicio o cumplir la ley.

Cómo construimos y cambiamos Route Royal

  • Los cambios se revisan y se prueban antes de llegar a producción.
  • Cada compilación comprueba nuestras dependencias en busca de vulnerabilidades conocidas y analiza el código, y se detiene ante hallazgos críticos. Una revisión semanal detecta los nuevos avisos de seguridad.
  • No copiamos datos de clientes en los entornos de desarrollo ni de pruebas.

Supervisión y respuesta

  • Nuestros servicios se trazan y se miden, y el equipo recibe una alerta cuando algo no parece ir bien.
  • Cada inicio de sesión queda en el historial de inicios de sesión de la persona, y los cambios de inicio de sesión único, sincronización de directorio y reservas quedan en el registro de auditoría de tu organización.
  • Cuando se produce un incidente, lo contenemos, corregimos la causa y revisamos lo que hemos aprendido. Si afecta a tus datos, te lo comunicamos sin dilación indebida, con lo que sabemos, para que puedas cumplir tus propias obligaciones.

La IA y tus datos

  • Q trabaja como la persona que pregunta, dentro de sus permisos, y cada cambio que hace espera su confirmación.
  • Claude y ChatGPT, conectados por MCP, tienen solo los permisos de la persona que los conectó, y acceden a los datos de un cliente solo mediante un permiso de servicio activo.

Pruébalo: Q ha preparado un cambio

Mover 3 negocios de Propuesta a Ganado

Tu parte

Seguridad que tú controlas

La seguridad es compartida. Estos son los ajustes que decide tu propia organización.

Seguridad y cumplimiento

Inicio de sesión en dos pasos, inicio de sesión único y sincronización de directorio, roles, permisos de servicio y el registro de auditoría.

IA y Q

Qué puede hacer Q y cómo se conectan Claude y ChatGPT, dentro de los permisos de cada persona.

Desarrolladores

Claves publicables y secretas, claves de API con alcance limitado y webhooks firmados para tus propios desarrollos.

Divulgación responsable

¿Has encontrado una vulnerabilidad?

Escríbenos a security@routeroyal.com. Incluye qué has encontrado, cómo reproducirlo y a qué podría afectar. Te responderemos, te mantendremos al tanto mientras lo corregimos y, si quieres, te mencionaremos en los agradecimientos.

security@routeroyal.com

Mientras investigas, te pedimos que

  • hagas pruebas solo con tu propia cuenta y tus propios datos
  • nunca leas, modifiques ni elimines datos de otras personas
  • no degrades el servicio, no envíes spam ni intentes engañar a nuestro equipo
  • nos des un plazo razonable para corregir el problema antes de hacerlo público

Preguntas

Lo que nos preguntan los equipos de seguridad

¿Tiene Route Royal la certificación ISO 27001 o SOC 2?

Todavía no. Seguimos la ISO 27001 y los Trust Services Criteria de SOC 2, pero no tenemos ningún certificado ni informe de auditoría que compartir. Nuestros proveedores de alojamiento y de base de datos sí están, por su parte, certificados y auditados.

¿Dónde se alojan nuestros datos?

En proveedores de nube consolidados, cuyos centros de datos tienen la certificación ISO 27001 y se auditan según SOC 2. Las empresas que tratan tus datos figuran en nuestra lista de subencargados del tratamiento, y podemos repasarlas contigo en una revisión de seguridad.

¿Pueden rellenar nuestro cuestionario de seguridad?

Sí. Envíalo a security@routeroyal.com y lo responderemos, o explicaremos nuestros controles a tu equipo en una llamada.

¿Qué pasa si hay un incidente de seguridad?

Lo contenemos, corregimos la causa y revisamos lo ocurrido. Si afecta a tus datos, te lo comunicamos sin dilación indebida, con lo que sepamos hasta ese momento, para que puedas cumplir tus propias obligaciones, como el plazo de 72 horas que el RGPD da para notificarlo a la autoridad de control.

¿Cómo protegemos nuestra propia organización?

Activa el inicio de sesión en dos pasos, conecta el inicio de sesión único y la sincronización de directorio, da a cada persona el rol que su trabajo requiere y revisa el registro de auditoría. Seguridad y cumplimiento te muestra cómo.

Documentos

La documentación que lo respalda

Tráenos tus preguntas

Pregúntanos lo que quieras sobre seguridad

¿Estás evaluando Route Royal para tu empresa o has encontrado algo que debemos corregir? Cada caso tiene su camino, y los dos llegan directamente a nosotros.

Revisiones de seguridad

¿Estás haciendo una revisión de seguridad?

Tu cuestionario

  1. ¿Dónde se alojan nuestros datos?
  2. ¿Quién puede ver nuestros datos?
  3. ¿Qué pasa si hay un incidente?
  1. Lo respondemos
  2. O explicamos nuestros controles a tu equipo en una llamada
Habla con nosotros sobre seguridad

Envíanos tu cuestionario

Divulgación responsable

¿Has encontrado una vulnerabilidad?

Tu informe

  1. Qué has encontrado
  2. Cómo reproducirlo
  3. A qué podría afectar
  1. Te respondemos
  2. Te mantenemos al tanto mientras lo corregimos
  3. Te mencionamos en los agradecimientos, si quieres
security@routeroyal.com

Empezar un informesecurity.txt