Política de Seguridad · Valkiria One

1. Alcance

Esta política describe, en términos generales, cómo Valkiria SpA protege Valkiria One y los datos que trata en ella, conforme al deber de seguridad de la Ley N° 19.628 modificada por la Ley N° 21.719. Por seguridad, no publicamos detalles de la infraestructura que puedan facilitar un ataque.

2. Autenticación

• Ingreso con correo y contraseña de al menos 10 caracteres que combine letras y números. Las contraseñas se guardan solo como hash, con un algoritmo estándar.
• Verificación en dos pasos con una app de autenticación (códigos de un solo uso). El administrador de cada Cliente puede exigirla a sus Usuarios.
• Límite de intentos por origen y bloqueo temporal de la cuenta ante intentos fallidos repetidos, sin revelar si un correo está registrado.
• Sesiones con vencimiento, que se cierran al salir.

3. Autorización y aislamiento

• Cada Cliente tiene su propia base de datos, separada de las de otros Clientes.
• Cada Usuario accede solo a las empresas y módulos que su administrador le asigna. Los permisos se verifican en el servidor en cada consulta, no solo en la pantalla, de modo que un cambio o una desactivación rigen de inmediato.
• Las acciones de un módulo se validan según quién las hace: por ejemplo, solo el aprobador de un paso puede aprobarlo y nadie aprueba lo propio.

4. Cifrado y protección de credenciales

• Todo el tráfico va cifrado con TLS, entre el navegador y la Plataforma y entre la Plataforma y el Conector del Cliente.
• Las llaves de conexión y los secretos de la verificación en dos pasos se guardan cifrados. Las claves de cifrado se guardan fuera de las bases de datos y del código.
• El Conector acepta conexiones solo desde la Plataforma, con una llave propia de cada Cliente.

5. Protección de la aplicación

• Todo acceso a los datos se hace con procedimientos parametrizados, sin armar consultas con lo que escribe el usuario.
• Los archivos que se cargan se validan por su tipo y su contenido real antes de guardarse, y se entregan de forma que el navegador no los ejecute.
• Cabeceras de seguridad en el sitio y en la API: política de contenido estricta, sin scripts de terceros, protección contra el enmarcado de páginas (clickjacking), HTTPS obligatorio y respuestas que no quedan en caché.
• La sesión se guarda en una cookie que los scripts de la página no pueden leer, que solo viaja por conexión segura y que el navegador no envía desde otros sitios. Toda acción que cambia datos exige además una señal propia de la Plataforma, para impedir solicitudes falsificadas desde otro sitio.

6. Registro, auditoría y monitoreo

• Cada intento de ingreso queda registrado con su resultado.
• Las acciones de los módulos operativos (crear, enviar, aprobar, rechazar, contabilizar) quedan en registros de auditoría que no se pueden modificar ni borrar.
• Los consentimientos y las solicitudes de derechos quedan en registros igualmente inmutables.
• Los registros técnicos no guardan contraseñas, códigos ni el contenido de las consultas.
• Los registros se conservan por los plazos de la Política de Privacidad y luego se eliminan automáticamente.

7. Respaldos y continuidad

Las bases de datos de la Plataforma se respaldan todos los días, y esas copias se conservan 15 días. Además, una copia completa mensual se guarda fuera del datacenter por 3 meses. La infraestructura está en un proveedor de nube en Chile. El tiempo objetivo para restablecer el servicio tras una falla grave es de 2 horas.

8. Gestión de vulnerabilidades y actualizaciones

Mantenemos al día el sistema operativo, las bases de datos y las librerías, y revisamos el código antes de publicarlo. Si encuentras una vulnerabilidad, escríbenos a soporte@valkiria.cl: la revisaremos con prioridad y sin acciones contra quien la informe de buena fe y sin dañar datos ni el servicio.

9. Personal y proveedores

El personal de Valkiria accede a datos de un Cliente solo cuando lo necesita para dar soporte, y ese acceso queda registrado. Los proveedores que tratan datos lo hacen bajo contrato y con medidas equivalentes.

10. Incidentes de seguridad

Tenemos un procedimiento interno para detectar, contener, investigar y registrar incidentes. Si un incidente afecta datos personales y hay un riesgo razonable para los titulares, lo informaremos sin dilaciones indebidas a la Agencia de Protección de Datos Personales y, cuando corresponda, a los Clientes y a los titulares afectados, en los términos del art. 14 sexies de la ley.

11. Responsabilidad compartida

Cada Cliente es responsable de su servidor Softland y del Conector instalado en él, de sus respaldos, de asignar los permisos justos a sus Usuarios y de exigir la verificación en dos pasos cuando corresponda. Cada Usuario debe cuidar su contraseña y su teléfono.

12. Contacto

Valkiria SpA · soporte@valkiria.cl · one.valkiria.cl