Integraciones y sectores

Cada integración usa su propia cuenta técnica con solo los permisos que necesitan sus flujos, nunca las credenciales de una persona. Las credenciales se guardan en su almacén de secretos, no en el código. Nuestros ingenieros trabajan en sistemas de prueba con datos enmascarados o de ejemplo siempre que es posible, y su acceso es nominativo, queda registrado y se retira cuando dejan el proyecto.

Más información: Integración de ERPEnlace a esta pregunta

Los archivos de pagos se firman y cifran según exige cada banco, por ejemplo con OpenPGP, y solo circulan por el canal acordado. Las claves y los certificados se guardan en su almacén de claves o en su módulo de seguridad de hardware (HSM), nunca en el código, y solo personas designadas pueden acceder a ellos. Los archivos se validan antes de enviarse y cada transferencia queda registrada, para que pueda rastrear quién aprobó y envió cada pago.

Más información: Integración bancariaEnlace a esta pregunta

No podemos eliminar PCI DSS, pero sí reducir la parte de su entorno tecnológico a la que se aplica. Usamos páginas de pago alojadas, cifrado punto a punto en el terminal y tokens de la pasarela, de modo que los números de tarjeta nunca lleguen a su POS, su ERP ni su almacén de datos. Documentamos los flujos de datos para que su evaluador pueda ver qué sistemas tratan datos de tarjeta y cuáles no.

Más información: Integración de pagos y POSEnlace a esta pregunta

Sí. Añadimos inicio de sesión único con OpenID Connect o SAML 2.0 a través de proveedores como Microsoft Entra ID o Keycloak, y aprovisionamos usuarios automáticamente con SCIM cuando la aplicación lo admite. Los servicios se comunican entre sí con tokens OAuth 2.0 limitados a lo que cada uno necesita. Su proveedor de identidad sigue siendo el único lugar donde se conceden y retiran los accesos.

Más información: Integración con terceros y APIEnlace a esta pregunta

Sí. Trabajamos dentro de sus políticas: sus reglas de acceso, sus entornos, su proceso de cambios y sus requisitos de auditoría. Antes de empezar, acordamos cómo se tratan los datos, a qué entornos pueden acceder los ingenieros y qué evidencia necesitan sus equipos de riesgos y cumplimiento. Describimos con claridad los controles que aplicamos, para que sus auditores puedan revisarlos.

Más información: Fintech y servicios financierosEnlace a esta pregunta

Diseñamos para que el menor número posible de sistemas vea alguna vez un número de tarjeta completo. Los campos de pago alojados, la tokenización y los tokens de red mantienen los datos de tarjetas en el procesador, lo que reduce su alcance de PCI DSS. Cuando un sistema debe tratar datos de tarjetas, lo desarrollamos conforme a los controles de PCI DSS aplicables y los documentamos para su auditor.

Más información: Fintech y servicios financierosEnlace a esta pregunta

Recogemos solo los datos que necesita cada funcionalidad, los mantenemos en la región y el entorno que usted elija, y los ciframos en tránsito y en reposo. El acceso sigue los roles y queda registrado. Nuestros ingenieros trabajan con datos sintéticos o anonimizados siempre que es posible, y con datos reales solo con su aprobación y bajo su supervisión.

Más información: SaludEnlace a esta pregunta

El cumplimiento corresponde a su organización y a la forma en que opera un sistema, por lo que ningún proveedor de software puede garantizarlo por sí solo. Lo que hacemos es diseñar y desarrollar conforme a los requisitos aplicables, documentar los controles y apoyar a sus equipos de privacidad y seguridad en sus evaluaciones.

Más información: SaludEnlace a esta pregunta

Donde indiquen sus normas. Trabajamos con regiones de nube gubernamental o soberana, nubes comerciales homologadas o sus propios centros de datos, y diseñamos el sistema para que la decisión sobre el alojamiento sea suya. Las copias de seguridad, los registros y el acceso de soporte siguen la misma regla, porque los datos a menudo salen de una región a través de ellos y no a través de la aplicación.

Más información: Sector públicoEnlace a esta pregunta

Sí. La aprobación permanece en su ERP, con sus controles actuales. La capa de integración registra cada archivo que crea, firma, envía y recibe, con marcas de tiempo, identificadores y la cuenta técnica utilizada. Ese registro vincula cada pago del informe de estado del banco con el documento del ERP y sus aprobadores.

Más información: ERP y bancosEnlace a esta pregunta

Ese es el objetivo del diseño. Los números de tarjeta los captura el terminal certificado o una página de pago alojada, y la pasarela los sustituye por tokens, de modo que su POS, su ERP y sus almacenes de datos solo ven tokens. Así se reduce la parte de su entorno tecnológico a la que se aplica PCI DSS. Su auditor confirma el alcance final.

Más información: Pagos con tarjetaEnlace a esta pregunta

Sí. Para los pagos con tarjeta en línea integramos EMV 3-D Secure a través de la pasarela, para que el emisor pueda autenticar al titular cuando la normativa o el riesgo lo exijan. Gestionamos los flujos con desafío y sin fricción en el proceso de pago y probamos ambos con las tarjetas de prueba del proveedor.

Más información: Pagos con tarjetaEnlace a esta pregunta

El cliente ve qué datos se comparten, con qué finalidad y durante cuánto tiempo, y se autentica en su propio banco. El conector almacena cifrados el consentimiento y sus tokens, y cada llamada está vinculada a un consentimiento válido. Los clientes pueden retirar su consentimiento y, cuando lo hacen, el conector deja de llamar a ese banco en su nombre.

Más información: API de banca abiertaEnlace a esta pregunta

Los tokens y los registros de consentimiento se cifran en reposo, solo el conector puede usarlos y cada llamada se registra junto con el consentimiento que la respalda. Recogemos solo los datos que la finalidad requiere y fijamos cuánto tiempo se conservan. A estos datos se aplican normas de protección de datos como el RGPD, y diseñamos junto con su delegado de protección de datos.

Más información: API de banca abiertaEnlace a esta pregunta

Cada webhook entrante se verifica antes de procesarse: por firma cuando el socio firma sus mensajes, y mediante comprobaciones de token, origen y marca de tiempo cuando no lo hace. El contenido se valida contra el contrato, y los eventos se procesan una sola vez aunque el socio los envíe más de una vez.

Más información: ERP y tercerosEnlace a esta pregunta