POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

JULSMIND SAS — KATUQ

Versión 2.0

Fecha de publicación: 15 de agosto de 2026

Entrada en vigencia: 15 de septiembre de 2026

<h2>1. OBJETIVO</h2>

Establecer los lineamientos técnicos, legales y organizativos para preservar la confidencialidad, integridad y disponibilidad de los activos de información de KATUQ, minimizando los riesgos de fuga de información, fraude o indisponibilidad del servicio.

<h2>2. MARCO NORMATIVO Y ESTÁNDARES</h2>

<ul>

<li>Colombia: Ley 1581 de 2012, Decreto 1377 de 2013, Ley 1273 de 2009 (delitos informáticos), Circular Externa 002 de 2015 de la SIC (reporte de incidentes).</li>

<li>Referencia técnica: ISO/IEC 27001:2022 — Sistemas de Gestión de Seguridad de la Información.</li>

<li>Pagos: estándar PCI-DSS, en lo aplicable a integradores que no almacenan datos de tarjeta.</li>

</ul>

KATUQ adopta estos estándares como marco de referencia para el diseño de sus controles. La mención de un estándar no implica certificación vigente, salvo que se indique expresamente y se aporte el certificado correspondiente.

<h2>3. ALCANCE</h2>

Esta política es de cumplimiento obligatorio para empleados, contratistas, proveedores y terceros con acceso a:

<ul>

<li>Datos personales de clientes y de sus clientes finales.</li>

<li>Código fuente y propiedad intelectual de KATUQ.</li>

<li>Credenciales de administración de la infraestructura en la nube.</li>

<li>Contenido de comunicaciones transmitidas a través de la plataforma.</li>

</ul>

<h2>4. PRINCIPIOS</h2>

<ul>

<li>Mínimo privilegio: cada persona accede únicamente a la información estrictamente necesaria para su función.</li>

<li>Seguridad por diseño: la seguridad se contempla desde el desarrollo del código, no como un añadido final.</li>

<li>Trazabilidad: toda acción crítica en el sistema deja un registro de auditoría.</li>

<li>Segregación: separación entre ambientes de desarrollo, pruebas y producción.</li>

<li>Defensa en profundidad: múltiples capas de control, sin dependencia de una sola barrera.</li>

</ul>

<h2>5. MEDIDAS TÉCNICAS</h2>

<ul>

<li>Cifrado en tránsito: uso obligatorio de TLS 1.2 o superior en toda comunicación entre el cliente y los servidores, con migración progresiva a TLS 1.3.</li>

<li>Cifrado en reposo: las bases de datos se encuentran cifradas bajo estándar AES-256.</li>

<li>Seguridad biométrica: los datos biométricos nunca se almacenan como imágenes. Se transforman inmediatamente en un valor alfanumérico irreversible (hash) mediante algoritmos criptográficos robustos.</li>

<li>Control de acceso: autenticación de múltiples factores (MFA) obligatoria para todo el personal administrativo con acceso a producción.</li>

<li>Gestión de secretos: credenciales, tokens y llaves de API almacenados en gestores de secretos cifrados, con rotación periódica.</li>

<li>Registros de auditoría: conservación de logs de acceso y de operaciones críticas.</li>

<li>Aislamiento entre clientes: controles lógicos que impiden el acceso de un cliente a los datos de otro.</li>

</ul>

<h2>6. SEGURIDAD EN LA NUBE Y PROVEEDORES</h2>

6.1. KATUQ opera bajo un modelo de responsabilidad compartida, utilizando proveedores de infraestructura de clase mundial.

6.2. Se exige a los proveedores contar con certificaciones de seguridad vigentes (ISO 27001, SOC 2 o equivalentes).

6.3. La lista actualizada de subencargados que tratan datos personales se publica en katuq.com/legal/subencargados.

6.4. Respaldo. Se ejecutan copias de seguridad completas con periodicidad diaria y mecanismos de recuperación a punto en el tiempo, cifradas y replicadas en más de una zona de disponibilidad, con retención de treinta (30) días. Los objetivos de recuperación (RPO y RTO) se detallan en el <a href="https://claude.ai/legal/sla">Acuerdo de Nivel de Servicio</a>.

<h2>7. GESTIÓN DE INCIDENTES DE SEGURIDAD</h2>

Ante la detección de una violación de seguridad:

7.1. Contención. El equipo técnico aislará la amenaza de inmediato y preservará la evidencia.

7.2. Evaluación. Se determinará el alcance, las categorías de datos comprometidas y los titulares afectados.

7.3. Reporte a la SIC. Se reportará el incidente a la Superintendencia de Industria y Comercio conforme a los términos y al procedimiento de la Circular Externa 002 de 2015, a través del Registro Nacional de Bases de Datos.

7.4. Notificación a clientes. Cuando el incidente afecte datos tratados por KATUQ en calidad de Encargado, se informará al cliente Responsable dentro de las cuarenta y ocho (48) horas siguientes a la confirmación del incidente, conforme al Anexo de Encargo del Tratamiento.

7.5. Notificación a titulares. Cuando corresponda al Responsable notificar a los titulares afectados, KATUQ prestará el apoyo técnico e informativo necesario.

7.6. Post-mortem. Todo incidente relevante da lugar a un análisis de causa raíz y a un plan de acción correctivo documentado.

<h2>8. DESARROLLO SEGURO Y GESTIÓN DE CAMBIOS</h2>

<ul>

<li>Revisión de código previa a despliegue en producción.</li>

<li>Gestión de dependencias y actualización de componentes con vulnerabilidades conocidas.</li>

<li>Ambientes separados y datos de prueba no productivos.</li>

<li>Registro de cambios y capacidad de reversión.</li>

</ul>

<h2>9. RESPONSABILIDADES Y SANCIONES</h2>

El incumplimiento de esta política por parte de colaboradores o proveedores será considerado falta grave y podrá acarrear la terminación del contrato, sin perjuicio de las acciones civiles o penales que correspondan, en particular las derivadas de la Ley 1273 de 2009.

<h2>10. RESPONSABILIDADES DEL CLIENTE</h2>

La seguridad es compartida. Corresponde a EL CLIENTE:

<ul>

<li>Custodiar sus credenciales y las de sus Usuarios Autorizados.</li>

<li>Activar la autenticación de múltiples factores disponible en la plataforma.</li>

<li>Revocar oportunamente los accesos de personas que dejen su organización.</li>

<li>Configurar correctamente los permisos por rol.</li>

<li>Notificar a KATUQ cualquier uso no autorizado que detecte.</li>

</ul>

<h2>11. VIGENCIA Y REVISIÓN</h2>

Esta política rige a partir del 15 de septiembre de 2026 y será revisada anualmente, o antes ante cambios significativos en la infraestructura, en el marco normativo o tras un incidente relevante.

Reporte de vulnerabilidades y contacto de seguridad: jarango@katuq.com