Cumplimiento de seguridad
Creado para organizaciones donde la revisión de seguridad se realiza antes de la primera sesión. Esto es lo que hacemos, lo que no hacemos y lo que le entregamos a su equipo de TI cuando lo solicite.
Seguridad por diseño
Un entorno por cliente
Una instancia de base de datos dedicada y aislada para cada cliente. No se comparten datos entre clientes.
Leer más
Los entornos de producción y prueba están físicamente separados; los entornos de prueba utilizan únicamente datos anonimizados. El contenido del cliente y los datos personales se encuentran en dos repositorios cifrados distintos.
Alojamiento en su región
Clientes europeos: AWS eu-west-1 (Irlanda). Clientes estadounidenses: AWS Estados Unidos. Otras regiones bajo petición.
Leer más
Infraestructura de hosting (AWS) certificada ISO 27001, 27017, 27018 y SOC 1/2/3. Replicación entre regiones para redundancia y recuperación ante desastres.
Cifrado en todas partes
TLS en tránsito, cifrado en reposo, gestión de claves con AWS KMS.
Leer más
Los certificados se gestionan y monitorean con alertas de vencimiento automatizadas. Todo el acceso a los datos pasa a través de la aplicación: no hay acceso directo a la base de datos.
Datos mínimos
Nombre, correo electrónico del trabajo, resultados de prácticas y grabaciones de audio. Ningún vídeo, nunca.
Leer más
Las grabaciones se almacenan aparte de los datos personales y se identifican mediante códigos alfanuméricos sin vínculo directo con la persona. No se recopilan datos comerciales del cliente (ventas, financieros, fórmulas). Sin datos regulados por PCI, HIPAA, FERPA o FISMA.
Control de la conservación de datos
El audio se elimina después de 30 o 60 días, según su elección, incluso durante la vigencia del contrato.
Leer más
Los datos personales pueden eliminarse previa solicitud en cualquier momento, por ejemplo cuando alguien deja la empresa. Después de la terminación del contrato, los datos se conservan durante 30 días y luego se eliminan por completo. Los datos se anonimizan automáticamente cuando expiran los períodos de retención.
Solo desarrollo interno
Sin subcontratación, sin acceso de terceros a la producción o los datos.
Leer más
Gestión formal de cambios con pruebas, aprobación y reversión; revisión de seguridad de cada cambio; no hay API externas expuestas.
Arquitectura y protección de datos
Cómo se mueven los datos del cliente
Dos repositorios, ambos cifrados: uno para datos personales y otro para el contenido del escenario que nos proporcionen. Cuando el contenido necesita un servicio de IA externo, los algoritmos de segregación y calificación de Skillgym eliminan primero los identificadores directos y los elementos sensibles a la marca, y el servicio recibe un identificador transaccional, nunca un nombre o un correo electrónico. Cada flujo se registra.
Servicios externos de IA
La conversión de voz a texto, los modelos de lenguaje y la representación de avatares se ejecutan en API empresariales con cláusulas contractuales de no utilización de datos para entrenar modelos: nada de lo que ustedes o su gente digan se utiliza para entrenar el modelo de nadie. Cinco de los 120 algoritmos propietarios de Skillgym existen únicamente para imponer esta segregación en cada punto de interacción. La lista de servicios y sus términos de retención se encuentran en el Acuerdo de procesamiento de datos.
Identidad y acceso
Inicio de sesión único
Federación SAML 2.0 con asignación de roles; se admite el cierre de sesión único.
Dos niveles de acceso
Usuarios estándar a través de SSO; administradores solo mediante solicitud formal, con MFA y VPN.
Mínimo privilegio
Un administrador tiene acceso privilegiado a los datos del cliente. El acceso se revisa semanalmente.
Sólo navegador
Acceso HTTPS desde el navegador de cualquier dispositivo; sin aplicación móvil ni autenticación a nivel de dispositivo, por diseño.
Resiliencia operativa
Objetivos de recuperación
Los objetivos de tiempo y punto de recuperación están definidos en nuestros acuerdos con proveedores, monitoreados y probados. Cifras disponibles en la documentación de seguridad.
Copias de seguridad y conmutación por error
Copias de seguridad periódicas con controles de integridad mensuales; replicación entre regiones; la conmutación por error se prueba cada seis meses.
Respuesta a incidentes
Procedimientos documentados con roles definidos y escalamiento. Los clientes afectados reciben una notificación en un plazo de dos horas hábiles en caso de incidentes críticos.
Registro y gestión de vulnerabilidades
Registros centralizados conservados durante seis meses y protegidos contra modificaciones; remediación basada en riesgos; pruebas de penetración realizadas por personal calificado; evaluación anual de riesgos.
Aseguramiento y documentación
Todo lo necesario para evaluar el riesgo de proveedores, disponible previa solicitud.
Descripción general de seguridad para evaluaciones de riesgos de proveedores
Acuerdo de procesamiento de datos
Descripción del flujo de datos
Lista de subprocesadores con términos de retención
Resumen de evaluaciones de seguridad de terceros
Resumen de respuesta a incidentes y continuidad del negocio
Respuestas a su cuestionario de seguridad
Revisar la seguridad con nuestro equipo
Nuestro equipo técnico explica la arquitectura y la documentación a sus equipos de seguridad y TI.
Requisitos del sistema
Dispositivos, sistemas y navegadores compatibles con Skillgym (página en inglés).