Prácticas de seguridad

La web pública, herramientas de cuenta, plataforma cloud, servidores alquilados y datacenters son sistemas diferentes. Un control descrito para uno no se aplica ni certifica automáticamente a todos.

Las medidas contratadas constan en el pedido, anexo de seguridad y, cuando corresponde, el Acuerdo de tratamiento de datos. Esta página no sustituye esos compromisos ni crea garantías adicionales de disponibilidad, respuesta a incidentes o recuperación.

Nuestra web pública utiliza conexiones HTTPS cifradas en producción. Las sesiones protegidas de checkout emplean cookies firmadas y verificaciones de autorización en servidor para ayudar a impedir acceso a pedidos ajenos. Las cookies de sesión se configuran para restringir acceso desde scripts y transmisión por conexiones no cifradas cuando corresponde.

Los formularios incorporan medidas para reducir abuso automatizado. El acceso a datos y credenciales de la web se limita a sistemas y personal autorizados. Los secretos de producción deben mantenerse fuera del código público y repositorios públicos.

Estas medidas reducen riesgos, pero no hacen invulnerable una cuenta o web. Firmar una cookie no cifra todos los datos almacenados, y HTTPS en la web no significa que todas las cargas o circuitos de clientes estén cifrados automáticamente.

Usa cuentas individuales, permisos mínimos y autenticación multifactor cuando esté disponible. Actualiza contactos de recuperación, protege claves API, retira accesos sin uso e instala actualizaciones en sistemas bajo tu control. Si falta un control necesario para tu carga, consulta alternativas antes de desplegarla.

Copias, replicación y recuperación ante desastres solo se incluyen cuando el pedido lo establece expresamente. Una plataforma redundante, RAID, instantánea o SLA no garantiza por sí solo recuperar información perdida o borrada.

Elige frecuencia, conservación y separación geográfica de copias adecuadas y prueba la restauración. Los compromisos de tiempo y punto de recuperación solo aplican si se pactan. Mantén una copia independiente de información importante cuando corresponda.

La disponibilidad de datacenter y conectividad se describe en el Apéndice A de los Términos. Es distinta de confidencialidad, integridad y recuperación de datos.

El pedido identifica dónde se aloja la carga contratada. Soporte, administración, facturación y replicación opcional pueden involucrar otros países; las condiciones de tratamiento y transferencia deben registrarse en el contrato y DPA.

Una instalación de un tercero puede tener certificaciones propias. Eso no certifica automáticamente a Conexum Inc., a la plataforma cloud ni a una aplicación del Cliente. Solicita emisor, alcance, instalación cubierta, vigencia e informe antes de apoyarte en una certificación.

Para evaluar seguridad, solicita el anexo específico y evidencia disponible mediante noc@ipxon.com. Puede requerirse confidencialidad para información restringida. No prometemos certificaciones, informes o evaluaciones no emitidos para el alcance correspondiente.

Si necesitas tratamiento regulado, gestión dedicada de claves, residencia concreta o acuerdos adicionales, comunícalo antes de desplegar. Contratar infraestructura no certifica tu aplicación ni acredita por sí solo todas las obligaciones sectoriales.

Si sospechas compromiso de una cuenta o servicio, contacta a noc@ipxon.com y utiliza support@ipxon.com para incidentes activos del servicio. Incluye identificador y un canal seguro de contacto, no contraseñas o claves privadas.

Si una brecha de datos personales afecta información tratada por cuenta de un cliente, el aviso y colaboración siguen el DPA. Para tratamientos propios aplicamos las obligaciones de notificación correspondientes. Un escaneo bloqueado no constituye necesariamente una brecha.

Podemos necesitar aislar recursos, rotar credenciales o preservar pruebas. Coordinaremos cuando sea viable y limitaremos las medidas a lo razonablemente necesario. Conserva registros relevantes bajo tu control e informa de actuaciones que puedan afectar la investigación.

Envía un reporte privado a noc@ipxon.com con dominio o servicio controlado por IPXON, descripción, pasos seguros de reproducción, impacto probable y contacto. Solicita un canal seguro antes de enviar evidencia sensible.

Usa tu propia cuenta de prueba y detente cuando puedas demostrar el problema con seguridad. No accedas, modifiques, retengas ni reveles datos ajenos; no establezcas persistencia, uses ingeniería social, afectes disponibilidad ni pruebes cargas de clientes, proveedores o terceros sin permiso. Si encuentras acceso no previsto, detente y reporta.

Recibimos reportes de buena fe. En investigaciones limitadas a sistemas controlados por IPXON que respeten estas pautas, no iniciaremos acciones legales únicamente por haber descubierto una vulnerabilidad. Esta declaración no autoriza actividad sobre terceros ni obliga a estos o a las autoridades. Consulta antes si el alcance o seguridad de una prueba no están claros.

Procuramos acusar recibo en tres días hábiles y dar un estado inicial en diez. Son objetivos de comunicación, no plazos garantizados de solución. Acordaremos un calendario razonable de divulgación según riesgo y avance; no exigimos silencio indefinido. No se promete recompensa salvo programa separado que la ofrezca expresamente.

Consulta la Política de uso razonable para pruebas y abuso, Privacidad para tratamientos propios y el DPA para datos personales alojados por clientes.

Seguridad y vulnerabilidades: noc@ipxon.com. Abuso: abuse@ipxon.com. Proveedor: Conexum Inc., 3250 W Commercial Blvd, Suite 140, Fort Lauderdale, FL 33309-3459, Estados Unidos.