Seguridad y cumplimiento en la gestión del tiempo
Conoce cómo protegemos a nuestros clientes y sus datos. Para más información sobre nuestras prácticas avanzadas de seguridad de datos, no dudes en contactarnos.
Certificaciones de seguridad y cumplimiento
La seguridad de nuestra recopilación y almacenamiento de datos está reforzada por procesos certificados, que garantizan la fiabilidad de nuestras operaciones.
SOC 2
Cumplimos con SOC 2 Type 2, aplicando estándares rigurosos de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.
RGPD
Cumplimos con el RGPD (Reglamento General de Protección de Datos), garantizando el cumplimiento de los estándares internacionales de protección de datos y privacidad.
Infraestructura moderna y segura
Ubicación
Usamos centros de datos con certificación ISO 27001. Nuestros servicios funcionan sobre GCP (Google Cloud Platform), donde alojamos los datos en Estados Unidos.
Seguridad física
La seguridad física la proporciona Google, con centros de datos certificados ISO 27001 y acceso restringido, limitado y controlado.
Puntos de entrada y autenticación
Puntos de entrada
Ofrecemos soluciones de control horario y fichaje adaptadas a móvil y Web, en varios idiomas. Nuestra app (iOS y Android) es el principal punto de entrada para los clientes y se conecta a un backend alojado en clústeres de Kubernetes multizona de alta disponibilidad; nuestra API es el punto de entrada para llamadas externas, alojada en Google Cloud Platform.
Ver documentación de la API →Derechos de acceso y autenticación de usuarios
Usamos una arquitectura de seguridad basada en roles y exigimos que cada usuario se identifique y autentique antes de usar cualquier función del sistema.
Cuentas locales: registro con un correo válido y contraseña, con autenticación de dos factores opcional.
Cuentas existentes: inicio de sesión único con cuentas de GitHub, Google y Microsoft.
SSO: el inicio de sesión único corporativo también está disponible para clientes Enterprise.
Cómo operamos con seguridad
Gestión de cambios
Un proceso documentado y auditado regularmente, con varias etapas de revisión de código y control de calidad antes de que cualquier cambio llegue a producción. Los clientes son informados con antelación de los cambios significativos.
Gestión de sesiones
Las sesiones se gestionan en el servidor, implementadas en el código principal de la aplicación.
Copia de seguridad automática
Copias de seguridad automáticas y periódicas de los registros de fichaje y otra información relevante, minimizando el riesgo de pérdida de datos y garantizando la continuidad del negocio.
Fiabilidad
Construido con tecnologías modernas que garantizan la continuidad del negocio en múltiples capas, con cifrado y controles de acceso rigurosos.
Registros de auditoría interna
Los registros de auditoría de los componentes internos del sistema se recopilan en un entorno separado, con acceso restringido a usuarios autorizados y una retención de 6 meses a varios años.
Entorno de desarrollo
Los entornos de desarrollo y pruebas se alojan y controlan por separado de producción, con pruebas de integración automatizadas que también ayudan a detectar problemas de seguridad.
Cómo tratamos tus datos
Tratamiento de datos personales
Procesamos y almacenamos un conjunto limitado de datos personales únicamente para la autenticación y autorización del usuario: nombre, género, foto, contraseña, dirección, datos biométricos, correo electrónico, IP, cookies y datos de uso de la plataforma.
Tratamiento de datos
Seguimos las mejores prácticas de seguridad de la información, almacenando los datos en Google Cloud con copias de seguridad automatizadas cada 12 horas y certificado SSL de 256 bits, conforme a los requisitos de la ISO 27018.
Copias de seguridad de datos
Copias de seguridad diarias, probadas automáticamente mediante restauraciones completas, para garantizar que el sistema siempre pueda recuperarse en caso de desastre. Todos los procedimientos de copia de seguridad están documentados y actualizados.
HTTPS y HSTS
Toda la comunicación está cifrada con algoritmos actualizados como TLS 1.2, y usamos HSTS para garantizar que el acceso a la plataforma sea siempre mediante HTTPS.
Información recopilada
Recopilamos información de personas registradas o autorizadas por el cliente para acceder a la plataforma, que puede utilizarse como prueba en casos de incumplimiento legal o por orden judicial.
Ver Política de Privacidad →Acceso a los datos del cliente
El soporte al cliente y un número limitado de miembros del equipo de DevOps pueden acceder a los datos del cliente para soporte y resolución de problemas.
Finalización del contrato
Tras la rescisión, todos los datos del cliente (excepto los exigidos por ley) se eliminan de nuestros sistemas mediante un proceso automatizado y documentado.
Solicitudes de los titulares de datos
Las solicitudes se gestionan manualmente, a través del chat de la aplicación o por correo a dpo@day.io.
Anonimización de datos
Salvo en casos específicos de resolución de problemas avanzados, todos los datos del cliente se anonimizan mediante una solución desarrollada internamente.
Integridad de los datos
Garantizada mediante comprobaciones de integridad de la base de datos y del sistema de archivos, snapshots periódicos, cifrado en reposo y copias de seguridad con recuperación a un punto en el tiempo.
Seguridad de los pagos
Usamos Stripe, un procesador de pagos certificado PCI DSS. No conservamos números de tarjeta de crédito ni otros datos financieros en nuestros servicios.
Seguridad en toda la organización
La integridad y protección de la información sensible están en el centro de nuestras políticas internas, diseñadas no solo para cumplir, sino para superar las expectativas regulatorias y de nuestros clientes.
Equipo de seguridad
Un equipo interno dedicado a la seguridad de TI, que trabaja estrechamente con el departamento legal en materia de cumplimiento y protección de datos.
Políticas de seguridad
Procesos y políticas de ciberseguridad alineados con las principales certificaciones de seguridad: gestión de registros, gestión de accesos, análisis de vulnerabilidades y formación continua de usuarios, todo documentado bajo nuestra certificación SOC 2 Type 2.
Rendimiento y monitorización
Contamos con soluciones internas que monitorizan continuamente nuestros sistemas, la disponibilidad de la aplicación y otros parámetros críticos de rendimiento.
Gestión de vulnerabilidades
Un proceso continuo de gestión de vulnerabilidades: los sistemas operativos de los servidores se parchean y actualizan regularmente, con procesos internos para identificar posibles fallos.
Gestión de riesgos de terceros
También evaluamos los riesgos generados por proveedores y socios externos, para tratar o mitigar su posible impacto.
Respuesta a incidentes
Una política establecida de respuesta a incidentes que cubre identificación, corrección, investigación, prevención y seguimiento eficaces. Los incidentes pueden reportarse a support@day.io.
Seguridad de recursos humanos
Todo el equipo conoce sus responsabilidades en materia de seguridad de la información y recibe formación periódica de concienciación, minimizando el riesgo de error humano.
Protección contra malware
Todos los equipos del personal están protegidos con una solución antivirus.
Gestión de riesgos internos
Identificación, evaluación y mitigación continua de riesgos, integradas en las actividades normales de gestión y supervisión de la empresa.
Divulgación responsable
Realizamos pruebas de vulnerabilidad y pentests con regularidad, y podemos compartir los resultados con los clientes que lo soliciten.