Seguridad y Privacidad

La seguridad forma parte del desarrollo de Virio desde el inicio. El responsable de la seguridad de la información y de la protección de datos es el encargado indicado en la Política de Privacidad (contato@virio.com.br).

Principios: mínimo privilegio, seguridad por defecto y verificación antes de cada lanzamiento. Todo cambio que involucra autenticación, permisos, base de datos, integraciones o secretos pasa por diagnóstico y revisión antes de llegar a producción, con un plan de reversión documentado.

Esta política se revisa al menos una vez al año y siempre que la Plataforma cambie de forma relevante.

• La base de datos, la autenticación, el almacenamiento de archivos y las funciones de servidor se ejecutan en Supabase, en servidores en Brasil (AWS, São Paulo); el sitio y la aplicación web están alojados en Lovable, sin acceso a la base de datos;
• El aislamiento de red y la protección contra ataques de denegación de servicio los proveen estos proveedores de nube;
• Todo el tráfico usa HTTPS (TLS 1.2 o superior);
• La base de datos solo acepta conexiones autenticadas; los endpoints públicos validan toda entrada y tienen límite de solicitudes; los formularios públicos usan protección contra bots (Cloudflare Turnstile).

• Cada espacio de trabajo tiene roles (propietario, administrador, editor y lector) verificados en el servidor; ocultar un botón nunca se considera un permiso;
• Row Level Security en todas las tablas: un espacio de trabajo no ve los datos de otro;
• Las credenciales de servicio quedan solo en el servidor y nunca llegan al navegador;
• El acceso administrativo a producción está restringido al fundador y queda registrado en un log de auditoría;
• Los equipos de la empresa usan antivirus (Microsoft Defender) activo y actualizado.

• Credenciales de integraciones (tokens de acceso de las cuentas conectadas): cifradas con AES-256-GCM antes de guardarse y nunca mostradas;
• Datos de clientes de Virio (cuenta, contenidos, métricas): cifrado en tránsito y en reposo, aislados por espacio de trabajo;
• Datos de compradores de tiendas y marketplaces conectados: Virio no guarda nombre, documento, e-mail, teléfono ni dirección del comprador; cuando es necesario para evitar duplicados, guarda solo un código irreversible (hash);
• Registros técnicos: no contienen datos personales ni secretos.

• Los eventos de seguridad (accesos administrativos, cambios de permisos, conexiones y desconexiones de integraciones) van a un registro de auditoría inmutable;
• La operación se revisa a diario mediante un resumen interno de fallas de tareas automáticas, pagos y riesgos.

• Las revisiones de seguridad (código, reglas de acceso a la base de datos y permisos, secretos) acompañan cada etapa de desarrollo;
• Las alertas de vulnerabilidad en dependencias se monitorean y se corrigen por gravedad, primero las críticas y altas;
• Los secretos nunca están en el código fuente; quedan en el almacén de secretos del proveedor;
• ¿Encontraste una vulnerabilidad? Escribe a contato@virio.com.br. Respondemos y tratamos el reporte con prioridad.

Un incidente de seguridad es cualquier evento que comprometa la confidencialidad, la integridad o la disponibilidad de los datos tratados por Virio. El encargado conduce la respuesta en estas etapas:

• Identificación: registro de la alerta o del reporte y evaluación inicial;
• Contención: bloqueo del acceso indebido, revocación de credenciales afectadas y preservación de evidencias;
• Evaluación: qué datos, qué clientes y qué riesgo para los titulares;
• Comunicación: aviso a los clientes y titulares afectados y, cuando haya riesgo o daño relevante, a la Autoridad Nacional de Protección de Datos de Brasil (ANPD), en el plazo y la forma previstos por la LGPD (art. 48) y la regulación de la ANPD; las plataformas socias (como redes sociales y marketplaces conectados) son avisadas cuando se vean afectados datos recibidos de ellas;
• Corrección y aprendizaje: corrección de la causa, verificación y registro del incidente con las medidas adoptadas.

Canal para comunicar un incidente o sospecha: contato@virio.com.br.

Los datos de la Plataforma se almacenan en Brasil (São Paulo). Los operadores que procesan datos fuera de Brasil, y las garantías adoptadas, están en la Política de Privacidad (secciones 7 y 12).

Los plazos de retención de cada tipo de dato están en la Política de Privacidad (sección 9). Al desconectar una cuenta, sus tokens de acceso se borran de inmediato. Para pedir la eliminación de tus datos: https://www.virio.com.br/data-deletion.

Virio aún no tiene una certificación formal de seguridad (como ISO 27001 o SOC 2). Los controles descritos aquí siguen el artículo 46 de la LGPD.

Seguridad, privacidad y reporte de vulnerabilidades: contato@virio.com.br.