Seguridad y cumplimiento normativo
La seguridad es una propiedad de cómo se construye y se opera un sistema.
Protocore construye la capa de software de los sistemas de pagos, IA y blockchain. Esta página explica con claridad cómo tratamos los datos, cómo se opera el software y dónde está la línea regulada: sin sellos que exhibir, solo la postura con la que construimos.
Datos y privacidad
Recogemos lo que un flujo necesita, y nada más.
Los sistemas que construimos se diseñan en torno a la minimización de datos: cada flujo captura únicamente los campos que necesita para cumplir su función y los conserva solo el tiempo necesario. Cuando alojamos, lo hacemos en la UE —producción funciona en AWS eu-central-1, Fráncfort— y construimos en línea con las prácticas del GDPR: una base jurídica para lo que se trata, atención a las solicitudes de acceso y supresión, y datos personales fuera de los logs y de la analítica por defecto.
- 01Minimización de datos por defecto
- 02Alojamiento en la UE: AWS eu-central-1 (Fráncfort)
- 03Tratamiento alineado con el GDPR: base jurídica, acceso, supresión
- 04Datos personales fuera de los logs y de la analítica
Cómo se opera
Acceso con mínimo privilegio y acciones privilegiadas que exigen un motivo.
El software que entregamos viene instrumentado desde el primer commit —logs, métricas y trazas—, de modo que lo que ocurre en producción se ve, no se deduce. El acceso sigue el principio de mínimo privilegio: cada actor, persona o servicio, recibe el permiso más estrecho que le permite hacer su trabajo. Las acciones sensibles de los operadores piden un motivo antes de ejecutarse y dejan un registro de auditoría de quién hizo qué, cuándo y por qué. Este es el modelo que hay detrás de Protocore Center, nuestra consola de operador: la misma postura que incorporamos a cada sistema.
- 01Instrumentado por defecto: logs, métricas, trazas
- 02Mínimo privilegio para cada actor, persona o servicio
- 03Acciones privilegiadas que exigen un motivo
- 04Registro de auditoría de quién hizo qué, cuándo y por qué
Separación de responsabilidades
Nosotros construimos el software. La línea regulada la mantiene la licencia.
Un producto de pagos son dos cosas unidas: el permiso regulado para custodiar o mover dinero, y el software que lo instruye, lo concilia y lo muestra. Protocore construye el software. La actividad regulada —custodiar fondos, emitir cuentas, mover dinero— corresponde a la licencia del propio operador o a un socio autorizado: un banco, una EMI o una entidad de pago. Construimos los flujos para encajar en los circuitos regulados que aportes; no somos un sustituto de ese permiso, ni lo es ningún software.
- 01Protocore construye el software, no la licencia
- 02La actividad regulada recae en el operador o en un socio con licencia
- 03Datos de tarjeta tratados para que nunca pasen por tus servidores
- 04Autenticación reforzada de cliente integrada en el flujo de pago
Prácticas
Los hábitos detrás de un sistema en el que confiar.
Prácticas concretas que incorporamos, expresadas como mecánicas, no como sellos.
Datos de tarjeta fuera de tus servidores
Los datos de la tarjeta los gestiona el circuito de pago y se tokenizan, de modo que los números de tarjeta en claro nunca tocan la infraestructura del operador.
Autenticación reforzada de cliente
La SCA está integrada en los flujos de pago e inicio de sesión: un segundo factor cuando el circuito o el riesgo lo requieren, no añadido a posteriori.
Cifrado en tránsito
El tráfico viaja por TLS de extremo a extremo; los secretos y las credenciales residen en almacenes gestionados y roles de instancia, nunca en el código fuente.
Aislamiento por tenant
Cuando un mismo sistema da servicio a varios operadores, los datos de cada tenant se separan mediante control de acceso para que ninguno pueda leer los de otro.
Divulgación responsable
¿Has encontrado algo? Cuéntanoslo.
Si crees que has encontrado un problema de seguridad en un sistema de Protocore, escríbenos y lo trabajaremos contigo. Nos comprometemos a acusar recibo con rapidez, mantenerte informado mientras lo corregimos y reconocer tu aportación, si lo deseas, una vez resuelto. Te pedimos un plazo razonable para remediarlo antes de divulgarlo públicamente, y que no accedas a datos ajenos ni los modifiques durante las pruebas.
Escribe a security@protocore.io con lo que has encontrado y cómo reproducirlo.
Confirmamos la recepción y empezamos a analizarlo, normalmente en un par de días laborables.
Lo remediamos y te mantenemos al tanto del avance hasta su resolución.
Con tu consentimiento, te mencionamos como autor del hallazgo una vez resuelto el problema.
Preguntas
Las preguntas de seguridad que nos hacen primero.
Describimos nuestra seguridad como prácticas, no como sellos. Protocore construye la capa de software; cuando se aplica un esquema regulado —el tratamiento de tarjetas, por ejemplo—, el perímetro certificado corresponde al circuito de pago o al socio autorizado del operador, y construimos para que los datos de tarjeta nunca pasen por tus servidores. Si para tu programa es importante una certificación concreta, cuéntanoslo y trazaremos quién responde de qué.
En la UE. Producción funciona en AWS eu-central-1 (Fráncfort). Construimos en línea con las prácticas del GDPR: minimización de datos, base jurídica para el tratamiento y atención a las solicitudes de acceso y supresión.
La licencia. Protocore construye el software que instruye y concilia el movimiento de dinero; custodiar o mover fondos corresponde a tu propia licencia o a un socio autorizado: un banco, una EMI o una entidad de pago. Ningún software sustituye ese permiso.
Mínimo privilegio para cada actor, y acciones privilegiadas que exigen un motivo y dejan registro de auditoría. Todo está instrumentado, así que quién hizo qué consta en el registro y no hay que reconstruirlo.
Escribe a security@protocore.io. Acusamos recibo con rapidez, te mantenemos informado mientras lo corregimos y reconocemos tu aportación, si lo deseas, una vez resuelto.
¿Tienes una pregunta de seguridad que no hemos cubierto?
Cuéntanos qué necesitas ver. Responderemos con datos concretos: arquitectura, flujos de datos y quién mantiene cada línea.