Estado de cumplimiento
| Marco | Estado |
|---|---|
| SOC 2 | En proceso. Vericto todavía no tiene un informe SOC 2; cuando lo tenga, lo pondrá a disposición de sus clientes bajo un acuerdo de confidencialidad. |
| ISO/IEC 27001 | Vericto no tiene la certificación. |
| GDPR y UK GDPR | DPA público con las Cláusulas Contractuales Tipo (Decisión (UE) 2021/914) y el UK Addendum para las transferencias internacionales. |
| LGPD y Ley 1581 | Cubiertas en el DPA, con las cláusulas estándar de la ANPD para las transferencias sujetas a la LGPD. |
Vericto produce evidencia para los controles de SOC 2 e ISO 27001 de tu organización (ver Compliance), pero eso no es una certificación de Vericto. Si tu revisión de proveedores necesita más información, escríbenos a security@vericto.com.
Datos y arquitectura
- Vericto no guarda los resultados de tus queries: solo el texto de la query, los metadatos de la decisión y el nodo del AST que la disparó.
- El proxy corre en tu infraestructura y abre la conexión a tu base de datos: Vericto no recibe ni guarda tu connection string.
- El texto de cada query en el audit trail se cifra con AES-256-GCM. Las API keys se guardan como hash SHA-256 y las contraseñas con bcrypt.
- TLS 1.2 o superior en todas las conexiones HTTP y en las del proxy, y HSTS en todos los dominios de Vericto.
- La plataforma corre en AWS us-east-1, en varias zonas de disponibilidad. Enterprise Enhanced y Premium ofrecen un despliegue dedicado en la región de AWS que elijas.
Privacidad y subencargados
- El DPA forma parte de los Términos de Servicio y está publicado, también en PDF.
- La lista de subencargados, con el servicio, los datos y la ubicación de cada uno, está en el Anexo III del DPA. Vericto avisa con al menos 30 días de antelación antes de agregar o reemplazar uno.
- En los planes con infraestructura compartida (Free, Builder, Team y Enterprise Standard), Vericto no garantiza que los datos se traten en una región o un país determinados.
Acceso y auditoría
- RBAC con cuatro roles (owner, admin, member y viewer) y API keys de CI con permisos acotados, u OIDC desde GitHub Actions.
- SSO empresarial y un registro de cada cambio administrativo, con el actor, la IP y el antes y el después.
- Las exportaciones del audit trail y el reporte de compliance van firmados con Ed25519, y puedes verificar la firma por tu cuenta.
Disponibilidad y soporte
- La página de estado publica los servicios que opera Vericto y el historial de incidentes.
- SLA según el plan: 99,5% en Builder, 99,9% en Team y Enterprise Standard, 99,95% en Enterprise Enhanced y 99,99% en Enterprise Premium.
Software y políticas
- El motor de reglas, el proxy y la CLI son código fuente disponible en GitHub, bajo la Elastic License 2.0 (ELv2): puedes leer el código que evalúa tus queries.
- Prueba de penetración bajo demanda, no incluida en ningún plan: una firma externa prueba la API y el dashboard (y, en Enhanced y Premium, el despliegue dedicado), con un retest y una carta de atestación, que no es una certificación. El alcance y el precio están en Enterprise.
- Cada release de la CLI publica checksums SHA-256 y, desde la v1.5.1, attestations de build con Sigstore que la vinculan al repositorio y al commit.
- Vericto mantiene políticas internas de seguridad de la información, control de acceso, gestión de cambios, continuidad del negocio, clasificación y retención de datos, cifrado y gestión de claves, respuesta a incidentes, riesgos y proveedores. Si tu revisión de proveedores las necesita, escríbenos a security@vericto.com.
Reportar una vulnerabilidad
Escribe a security@vericto.com. Respondemos en menos de 48 horas, publicamos el fix de una vulnerabilidad crítica en menos de 30 días y no emprendemos acciones legales contra quien reporte de buena fe. El detalle está en la página de seguridad.