Anexo C - Medidas técnicas y organizativas de seguridad

C.1. Cifrado. TLS 1.2 o superior para todo el tráfico en tránsito. Cifrado en reposo de bases de datos, objetos almacenados y respaldos. Cifrado adicional a nivel de campo de los Datos Personales identificadores, con llaves criptográficas segregadas por cada Comercio, e índices de búsqueda construidos con funciones hash con clave (HMAC), de forma que la consulta no requiera descifrar el dato original.

C.2. Segregación multi-inquilino. Separación lógica estricta de los datos de cada Comercio mediante identificador de comercio, con validación de alcance en la capa de autorización y en cada consulta.

C.3. Control de acceso. Autenticación individual con gestión de identidades, requisitos de complejidad de contraseñas, doble factor disponible, roles y permisos bajo el principio de privilegio mínimo, revisión periódica de accesos y revocación al cese de funciones.

C.4. Arquitectura de red. Bases de datos y recursos sensibles desplegados en red privada virtual sin exposición directa a Internet, acceso mediante intermediarios gestionados, grupos de seguridad restrictivos y puntos de entrada públicos limitados a los servicios de API.

C.5. Registro y monitoreo. Registros estructurados con identificadores de correlación, trazabilidad de accesos y operaciones sensibles, alertas de errores y de comportamiento anómalo, y conservación conforme a la Cláusula 25.2.

C.6. Ciclo de desarrollo seguro. Control de versiones, revisión de código, análisis estático y de dependencias, entornos separados de desarrollo y producción, despliegues automatizados y reproducibles, y gestión de secretos en un servicio dedicado sin credenciales en el código.

C.7. Respaldos y continuidad. Copias de seguridad automáticas de la base de datos con retención de treinta (30) días y recuperación a un punto en el tiempo (point-in-time recovery) dentro de ese periodo. Las tablas de almacenamiento no relacional cuentan con recuperación continua habilitada. Treli realiza pruebas periódicas de restauración y mantiene objetivos internos de punto de recuperación (RPO) y de tiempo de recuperación (RTO), que pone a disposición del Comercio que lo solicite bajo acuerdo de confidencialidad.

C.8. Gestión de vulnerabilidades. Aplicación de parches según severidad, actualización de dependencias.

C.9. Personal. Acuerdos de confidencialidad vigentes incluso después de terminada la relación, capacitación anual en seguridad y protección de datos, y verificación de antecedentes conforme a la ley aplicable.

C.10. Gestión de incidentes. Procedimiento documentado de detección, clasificación, contención, erradicación, recuperación, notificación y lecciones aprendidas.

C.11. Defensas específicas de IA. Tratamiento del contenido remitido por terceros como no confiable, instrucciones de sistema con defensas contra inyección de instrucciones, validación de salidas frente a esquemas esperados, límites de alcance de las acciones automatizadas y registro íntegro de las invocaciones.

FIN DEL ANEXO C

Versión 1.0 — 01/06/2026. Anexo C de los Términos y Condiciones del Servicio Treli AI.