Seguridad

Una dirección de correo electrónico, un nombre si lo indica, su idioma y su zona horaria, la hora y el navegador (user agent) de su último inicio de sesión, el identificador de su cuenta de Google si inicia sesión con Google, la lista de empresas que vigila, las reglas que ha escrito, los destinos de alertas que añada — direcciones de correo electrónico, canales de Slack o URL de webhook — y las direcciones de las personas que invite a su cuenta. Si un correo que enviamos rebota o se denuncia como spam, conservamos también esa dirección y el motivo, para dejar de escribirle. Ese es todo el inventario de datos de cliente. El grafo se compila a partir de declaraciones públicas sobre empresas y nos pertenece a nosotros, así que una brecha del conjunto de datos no expondría nada sobre usted que no esté ya publicado en internet.

Nunca vemos un número de tarjeta. Stripe aloja el formulario de tarjeta, las facturas y el propio método de pago; nosotros solo recibimos el plan y su estado.

• TLS en tránsito. En reposo, la base de datos, los archivos almacenados y las copias de seguridad están en volúmenes con cifrado de disco completo, y las credenciales que el servicio guarda para usted — secretos de webhook, tokens de Slack, tokens de conexiones con socios — están además cifradas columna a columna.
• Aplicación y datos alojados por Hetzner en Alemania, en la Unión Europea.
• El acceso a producción lo tiene solo el fundador. Todas las cuentas de infraestructura exigen autenticación multifactor, los servidores solo aceptan claves SSH, la consola del personal exige un segundo factor TOTP y todas las personas con acceso están sujetas a una obligación de confidencialidad por escrito.
• Inicio de sesión por enlace mágico o «Iniciar sesión con Google», así que no hay contraseña que reutilizar, filtrar o sacarle mediante phishing. Un enlace de inicio de sesión funciona una sola vez, caduca a los 15 minutos, se guarda solo como resumen criptográfico y requiere un clic en una página de confirmación — así, un escáner de correo que lo abra no inicia la sesión de nadie.
• Copias de seguridad automáticas de los servidores de Hetzner, conservadas durante 7 días.
• Análisis de dependencias y vulnerabilidades en cada cambio, con parcheo prioritario de las vulnerabilidades con explotación conocida.
• Las acciones del personal se registran en un registro de auditoría de solo anexión que se conserva durante 12 meses.

El conjunto de datos del grafo está detrás de una interfaz interna dentro de la aplicación, y el código que atiende su cuenta solo llega a él a través de esa interfaz — una prueba de arquitectura hace fallar la compilación si algo la sortea. Empezó como una decisión sobre mantener portable el conjunto de datos, y tiene una consecuencia de seguridad que merece la pena decir: una lectura del conjunto de datos no lleva ningún identificador de cliente, porque la interfaz no tiene dónde ponerlo. Las listas de vigilancia, las reglas y los inventarios viven en el lado de la aplicación y referencian entidades por identificador.

Este producto es solo de autoservicio, y eso es una restricción permanente más que una etapa. Deja fuera el SSO empresarial y SAML, los roles y permisos personalizados o granulares, los espacios de trabajo multicliente, los contratos a medida y los cuestionarios de seguridad cumplimentados a petición. El inicio de sesión es por enlace mágico o «Iniciar sesión con Google» — una dirección verificada en ambos casos, no una integración con un IdP. Se puede invitar a compañeros de equipo a una cuenta (propietario o miembro, con un número de plazas según el plan), pero no hay aprovisionamiento mediante SSO ni un modelo de permisos personalizado más allá de esos dos roles.

No estamos certificados en SOC 2 ni en ISO 27001. Si su proceso de compras exige alguno de los dos, todavía no encajamos, y preferimos que lo sepa aquí antes que después de tres semanas de correos.

Lo que ofrecemos a cambio es una descripción breve y concreta de un sistema pequeño — esta página, el DPA y nuestra propia lista de subencargados — y la posibilidad de cancelar con un clic si dejamos de merecer la pena.

Envíe los informes de seguridad a security@nthparty.io. Acusamos recibo en un plazo de dos días laborables, le diremos qué hemos encontrado y cuándo está corregido, y no le amenazaremos por informar de buena fe. No tenemos presupuesto para recompensas por fallos y no vamos a fingir lo contrario.

El estado del servicio se publica en status.nthparty.io, alojado por Better Stack, y el mantenimiento planificado se anuncia allí antes de realizarse. Las declaraciones se comprueban a diario en todos los planes.