Seguridad

Lo que hacemos para que la información de cada empresa esté disponible para quien corresponde y para nadie más. En esta página figura solo lo que ya está funcionando.

La conexión

• Todo viaja cifrado por HTTPS, con certificados que se renuevan solos, y el navegador queda obligado a no usar conexiones sin cifrar (HSTS).
• Cabeceras de seguridad que impiden mostrar el sistema dentro de otros sitios, adivinar tipos de archivo o filtrar direcciones a terceros.
• Este sitio no carga nada de otros: ni publicidad, ni analítica, ni fuentes externas. Su política de contenido solo admite archivos propios.

Cada empresa, aislada

• Una base de datos por empresa, con su propio usuario de base de datos, y archivos privados separados.
• Cada empresa entra por su propia dirección. Una empresa no puede ver ni consultar los datos de otra.

Quién entra y qué ve

• No hay registro público: los usuarios los da de alta el administrador de cada empresa.
• Permisos por rol y por área, con lo mínimo para que cada perfil termine su trabajo. Nadie aprueba lo que cargó.
• Contraseñas con requisitos de solidez, bloqueo después de varios intentos fallidos y sesiones que vencen.
• Verificación en dos pasos disponible, con código por correo o con una aplicación autenticadora, y la opción de entrar con la cuenta de Google Workspace o Microsoft 365 de la empresa.
• Datos sensibles con cuidado especial: de las aptitudes médicas se guardan el resultado y el vencimiento, y la garita solo ve si la aptitud está vigente.

Todo queda registrado

• Cada cambio en un documento guarda quién lo hizo y cuándo. También quedan registrados los ingresos, las exportaciones y las impresiones.
• Alertas por intentos de ingreso fallidos y por usuarios bloqueados.
• Si el soporte necesita entrar como un usuario para ayudarlo, lo hace con un motivo, queda registrado y el usuario recibe un aviso. Nunca pedimos contraseñas.

Copias y recuperación

• Copias de seguridad diarias de cada empresa.
• Probamos la restauración de copias en un sistema aparte y comparamos los totales con el original.

Lo que no hacemos con los datos

No los vendemos, no los usamos para publicidad y no los usamos para entrenar inteligencia artificial. El detalle está en Privacidad y datos.

Reportar un problema de seguridad

Si encontrás una vulnerabilidad en este sitio o en un sistema de BP Minex, escribinos a seguridad@bpminex.com con:

• qué encontraste y en qué dirección,
• los pasos para reproducirlo,
• cómo te podemos contactar.

Te pedimos que no accedas a datos de otras personas ni los modifiques, que no afectes el funcionamiento del servicio y que no lo hagas público hasta que esté corregido. Si actuás de buena fe y seguís estas pautas, lo tomamos como una colaboración. Los mismos datos están en security.txt.