v3.0.8Seguridad
1. Objeto de la Política de Seguridad
La presente Política de Seguridad establece los principios y medidas generales destinadas a proteger la plataforma de subastas, las cuentas de usuario, la información personal, los documentos, las ofertas, adjudicaciones, pagos, consignaciones, despachos y demás operaciones realizadas mediante el sistema.
2. Ámbito de aplicación
Esta Política se aplica a los usuarios registrados, administradores, operadores, casas de subastas, proveedores tecnológicos y demás personas que utilicen o administren funciones de la plataforma según los permisos que les hayan sido asignados.
3. Principios generales de seguridad
La plataforma procurará mantener medidas razonables destinadas a proteger la confidencialidad, integridad y disponibilidad de la información y de los servicios, considerando la naturaleza de los datos tratados, las funciones disponibles y los riesgos asociados al funcionamiento de una plataforma de subastas en línea.
4. Seguridad desde el diseño
Las nuevas funcionalidades, modificaciones y actualizaciones de la plataforma deberán considerar sus posibles efectos sobre la autenticación, permisos, privacidad, integridad de las ofertas, pagos, documentos, datos personales y continuidad operacional.
5. Cuentas individuales
Cada usuario deberá utilizar una cuenta individual. Las cuentas no deberán compartirse entre diferentes personas y el titular será responsable de mantener bajo resguardo sus credenciales de acceso.
6. Contraseñas
Las contraseñas deberán almacenarse mediante mecanismos de protección adecuados y no deberán mantenerse en texto legible. La plataforma podrá exigir requisitos mínimos de seguridad para las contraseñas y establecer procedimientos de recuperación cuando sea necesario.
7. Protección de credenciales
Los usuarios no deberán compartir contraseñas, códigos de validación, enlaces de recuperación ni otros mecanismos destinados a autenticar su identidad. La plataforma nunca solicitará por correo electrónico, teléfono o mensajería que el usuario entregue su contraseña completa.
8. Recuperación de acceso
Los procedimientos de recuperación de cuenta deberán utilizar mecanismos destinados a verificar razonablemente que quien solicita recuperar el acceso corresponde al titular de la cuenta. Los enlaces o códigos de recuperación podrán tener una vigencia limitada.
9. Sesiones de usuario
La plataforma podrá implementar controles de sesión destinados a reducir accesos no autorizados, incluyendo expiración automática, cierre de sesión, regeneración de identificadores y otras medidas técnicas de protección.
10. Equipos compartidos
Los usuarios que accedan desde computadores, teléfonos u otros dispositivos compartidos deberán cerrar correctamente su sesión al finalizar. Se recomienda evitar guardar contraseñas en equipos de terceros o dispositivos de acceso público.
11. Roles y permisos
La plataforma podrá utilizar diferentes roles y niveles de permisos. Cada usuario administrativo deberá acceder únicamente a las funciones necesarias para desempeñar sus responsabilidades.
12. Principio de menor privilegio
Los permisos administrativos deberán limitarse al nivel mínimo necesario para realizar las tareas asignadas. La existencia de una cuenta administrativa no deberá significar automáticamente acceso irrestricto a todas las funciones o datos disponibles.
13. Cuentas con privilegios elevados
Las cuentas con permisos superiores deberán utilizarse únicamente para aquellas funciones que requieran dicho nivel de acceso. Estas cuentas deberán mantenerse especialmente protegidas y no deberán ser utilizadas por personas no autorizadas.
14. Acceso a información sensible
El acceso a documentos de identidad, fotografías de validación, comprobantes de pago, información bancaria, datos personales y demás antecedentes sensibles deberá limitarse al personal autorizado que necesite consultarlos para cumplir sus funciones.
15. Validación de identidad
La revisión de documentos utilizados para verificar identidad deberá efectuarse mediante las herramientas habilitadas por la plataforma y únicamente por personal autorizado. Estos documentos no deberán publicarse ni compartirse mediante canales personales no autorizados.
16. Protección de documentos
Los archivos que contengan documentos de identidad, fotografías del rostro, comprobantes de transferencia u otros antecedentes sensibles deberán mantenerse protegidos contra acceso público directo y contra consultas no autorizadas.
17. Protección de datos en tránsito
Cuando la plataforma se encuentre disponible públicamente a través de internet deberá utilizar comunicaciones cifradas mediante HTTPS u otros mecanismos equivalentes destinados a proteger la transmisión de credenciales, datos personales y operaciones.
18. Certificados digitales
La plataforma deberá procurar mantener certificados digitales válidos y configuraciones adecuadas para establecer conexiones seguras entre los usuarios y el servidor.
19. Seguridad del servidor
El servidor que aloje la plataforma deberá mantenerse configurado de forma que se reduzca la exposición innecesaria de servicios, archivos, credenciales y funciones administrativas al acceso público.
20. Acceso a la base de datos
El acceso directo a la base de datos deberá limitarse a los sistemas y personas que realmente lo necesiten. Las credenciales de acceso no deberán mostrarse públicamente ni quedar expuestas dentro de mensajes de error o archivos accesibles desde internet.
21. Credenciales técnicas
Las contraseñas de bases de datos, credenciales SMTP, claves de servicios externos, tokens, API keys y demás secretos técnicos deberán mantenerse protegidos y fuera de áreas públicamente accesibles.
22. Información de configuración
Los archivos de configuración que contengan credenciales, datos de conexión o parámetros sensibles deberán permanecer protegidos contra descarga o visualización pública.
23. Mensajes de error
Los mensajes mostrados a los usuarios no deberán revelar innecesariamente rutas internas, consultas SQL, nombres de tablas, contraseñas, tokens, credenciales, estructura de directorios u otros antecedentes que puedan reducir la seguridad del sistema.
24. Registro técnico de errores
La plataforma podrá mantener registros internos detallados para diagnóstico y resolución de fallas. Estos registros deberán protegerse contra accesos no autorizados y utilizarse únicamente para mantenimiento, soporte, auditoría y seguridad.
25. Protección de ofertas
Las ofertas realizadas mediante la plataforma deberán quedar asociadas al usuario, lote, monto, fecha y hora correspondientes. La manipulación arbitraria de ofertas, su orden o sus valores está prohibida.
26. Integridad del historial de ofertas
El historial de ofertas deberá mantenerse de manera que permita reconstruir razonablemente el orden de participación de los postores y determinar la oferta válida utilizada para adjudicar un lote.
27. Fecha y hora del servidor
Las operaciones relacionadas con ofertas, extensiones y cierres deberán utilizar como referencia la fecha y hora registrada por los sistemas de la plataforma y no únicamente la hora indicada por el dispositivo del usuario.
28. Adjudicaciones
Las adjudicaciones deberán generarse a partir de las reglas configuradas para cada subasta y del historial de ofertas válidas. Las modificaciones administrativas excepcionales deberán realizarse únicamente por usuarios autorizados.
29. Extensiones automáticas
Cuando una subasta utilice extensión automática, el sistema deberá aplicar las reglas configuradas de manera uniforme para todos los participantes y registrar las ofertas que hayan provocado dichas extensiones.
30. Pagos
La plataforma no solicitará contraseñas bancarias, claves dinámicas ni credenciales utilizadas por los usuarios para acceder a sus cuentas financieras. Los datos relacionados con pagos deberán limitarse a aquellos necesarios para identificar y validar las operaciones.
31. Comprobantes de transferencia
Los comprobantes adjuntados por los usuarios deberán permanecer disponibles únicamente para personal autorizado y utilizarse para verificar las operaciones correspondientes. La existencia de un archivo adjunto no implicará por sí sola que el pago haya sido confirmado.
32. Archivos cargados por usuarios
La plataforma podrá limitar los tipos de archivos, extensiones, formatos y tamaños permitidos. Podrán aplicarse controles adicionales destinados a reducir el riesgo de archivos maliciosos, ejecutables o contenidos que puedan comprometer la seguridad del sistema.
33. Nombres de archivos
Los archivos cargados por usuarios podrán ser renombrados internamente o almacenados mediante identificadores generados por la plataforma para reducir riesgos asociados a nombres maliciosos, colisiones o acceso predecible.
34. Protección contra acceso directo
Los archivos privados no deberán quedar expuestos mediante direcciones públicas fácilmente predecibles cuando contengan documentos personales, comprobantes u otra información confidencial.
35. Copias de seguridad
La plataforma deberá mantener procedimientos razonables de respaldo destinados a recuperar información relevante frente a fallas, pérdida de datos, errores operacionales o incidentes técnicos.
36. Protección de respaldos
Las copias de seguridad deberán mantenerse protegidas contra acceso no autorizado y, cuando sea razonable, separadas del sistema principal para reducir el riesgo de pérdida simultánea.
37. Restauración de información
El operador podrá realizar pruebas periódicas de recuperación para verificar que los respaldos permitan restaurar información crítica cuando sea necesario.
38. Actualizaciones de software
Los componentes utilizados por la plataforma deberán revisarse periódicamente y actualizarse cuando existan correcciones relevantes de seguridad, siempre considerando la compatibilidad y estabilidad del sistema.
39. Vulnerabilidades
Cuando se detecte una vulnerabilidad que pueda comprometer el funcionamiento o la información administrada por la plataforma, deberán evaluarse y aplicarse medidas correctivas razonables según su nivel de riesgo.
40. Registros de seguridad
La plataforma podrá mantener registros relacionados con accesos, intentos fallidos, cambios de permisos, modificaciones administrativas, validaciones, ofertas, adjudicaciones, pagos y otros eventos relevantes para investigar incidentes y mantener la seguridad.
41. Auditoría
Los registros técnicos y operacionales podrán utilizarse para revisar incidentes, resolver controversias, verificar operaciones y detectar comportamientos anómalos o incumplimientos de las reglas de la plataforma.
42. Acciones administrativas
Las operaciones administrativas que puedan afectar usuarios, lotes, subastas, ofertas, adjudicaciones o pagos deberán limitarse a personas con permisos suficientes y utilizarse exclusivamente para fines legítimos de administración.
43. Separación de funciones
Cuando sea técnicamente y operacionalmente razonable, la plataforma podrá separar permisos relacionados con usuarios, validaciones, subastas, lotes, pagos, consignaciones, despachos y configuración general.
44. Prevención de ataques
La plataforma podrá utilizar medidas destinadas a reducir ataques automatizados, intentos de acceso masivo, abuso de formularios, manipulación de parámetros, inyección de código y otras técnicas destinadas a comprometer el sistema.
45. Intentos reiterados de acceso
Podrán aplicarse bloqueos temporales, limitaciones o controles adicionales cuando se detecten múltiples intentos fallidos de acceso o comportamientos compatibles con ataques automatizados.
46. Actividad anómala
La plataforma podrá identificar y revisar actividad que resulte incompatible con un uso normal, incluyendo accesos inusuales, manipulación de solicitudes, automatización abusiva, cambios reiterados de credenciales o intentos de acceder a funciones sin autorización.
47. Suspensión preventiva
Cuando existan antecedentes razonables de riesgo para la seguridad, una cuenta podrá ser suspendida temporalmente mientras se investigan los hechos. La medida deberá utilizarse para proteger la plataforma y las operaciones de otros usuarios.
48. Conductas prohibidas
Está prohibido intentar vulnerar la plataforma, acceder a información ajena, modificar registros sin autorización, explotar vulnerabilidades, introducir código malicioso, utilizar credenciales de terceros, interferir con el servicio o realizar cualquier acción destinada a alterar su funcionamiento normal.
49. Prohibición de pruebas no autorizadas
Los usuarios no deberán realizar pruebas de penetración, escaneos automatizados, extracción masiva de información, ataques de fuerza bruta u otras pruebas de seguridad sin autorización expresa del operador.
50. Seguridad del correo electrónico
Los correos enviados por la plataforma podrán utilizarse para validación, recuperación de acceso, códigos de seguridad, adjudicaciones, pagos, despachos y alertas. El usuario deberá verificar el origen de los mensajes y evitar entregar credenciales mediante enlaces o comunicaciones sospechosas.
51. Correos fraudulentos
La plataforma no será responsable por mensajes falsificados enviados por terceros haciéndose pasar por la casa de subastas. Los usuarios deberán informar cualquier correo, mensaje o sitio sospechoso que solicite información confidencial en nombre de la plataforma.
52. Protección de la sesión administrativa
Las cuentas administrativas deberán cerrar sesión cuando dejen de utilizarse, especialmente en equipos compartidos. Se recomienda evitar mantener sesiones privilegiadas abiertas de forma innecesaria.
53. Acceso remoto
Cuando se permita acceso administrativo remoto, éste deberá realizarse mediante mecanismos razonables de autenticación y protección de las comunicaciones.
54. Entornos de prueba
Los ambientes utilizados para desarrollo o pruebas no deberán exponer innecesariamente datos reales de usuarios ni credenciales de producción. Cuando sea posible, deberán utilizarse datos ficticios o anonimizados.
55. Cambios en producción
Las modificaciones relevantes del sistema deberán aplicarse de forma controlada, procurando mantener respaldos o mecanismos razonables que permitan recuperar la versión anterior cuando exista una falla significativa.
56. Eliminación de información
La eliminación de datos críticos deberá realizarse mediante funciones controladas y con permisos adecuados. Cuando determinados antecedentes deban conservarse por razones legales, contractuales, contables, de seguridad o auditoría, podrán mantenerse aunque dejen de aparecer en las vistas habituales.
57. Incidentes de seguridad
Se considerará incidente de seguridad cualquier evento que pueda comprometer la confidencialidad, integridad o disponibilidad de los sistemas o de la información, incluyendo accesos no autorizados, pérdida de datos, alteración de registros, exposición indebida, software malicioso o interrupciones relevantes.
58. Gestión de incidentes
Ante un incidente, el operador podrá adoptar medidas destinadas a contener el problema, proteger los sistemas afectados, investigar su alcance, corregir vulnerabilidades, restaurar servicios, cambiar credenciales y recuperar información cuando corresponda.
59. Conservación de evidencia
Cuando exista un incidente relevante, podrán conservarse registros técnicos y demás antecedentes necesarios para investigar lo ocurrido, determinar responsabilidades y prevenir nuevos eventos similares.
60. Comunicación de incidentes
Cuando corresponda conforme a la legislación aplicable, la plataforma podrá informar a los usuarios afectados, autoridades competentes u otras partes que deban conocer un incidente de seguridad.
61. Continuidad operacional
La plataforma procurará mantener procedimientos que permitan recuperar sus funciones esenciales frente a fallas significativas de infraestructura, servidores, bases de datos u otros componentes críticos.
62. Disponibilidad del servicio
Aunque se adoptarán medidas destinadas a mantener la plataforma disponible, ningún sistema conectado a internet puede garantizar funcionamiento permanente sin interrupciones. Podrán existir mantenimientos programados o fallas imprevistas.
63. Fallas durante una subasta
Cuando una falla técnica pueda afectar significativamente la igualdad entre postores o el resultado de uno o más lotes, la casa de subastas podrá aplicar las medidas previstas en los Términos y Condiciones, incluyendo suspensión, extensión o reprogramación cuando corresponda.
64. Proveedores tecnológicos
La plataforma podrá utilizar proveedores externos de infraestructura, hosting, correo electrónico, transporte, sistemas de pago u otros servicios. Cuando estos proveedores tengan acceso a información o sistemas deberán limitarse a las funciones necesarias para prestar sus servicios.
65. Responsabilidad de los usuarios
Los usuarios deberán adoptar medidas razonables para proteger sus propias cuentas, dispositivos y conexiones. La seguridad de la plataforma depende también del uso responsable de las credenciales y de la información proporcionada por cada usuario.
66. Dispositivos comprometidos
La plataforma no puede garantizar la seguridad de un usuario cuyo computador, teléfono o navegador se encuentre comprometido por software malicioso, extensiones inseguras, robo de credenciales u otras circunstancias externas al sistema.
67. Notificación de actividad sospechosa
Los usuarios deberán informar a la plataforma cuando detecten accesos desconocidos, cambios no autorizados, correos sospechosos, operaciones que no reconozcan o cualquier otro indicio de posible compromiso de su cuenta.
68. Reporte responsable de vulnerabilidades
Quien detecte una posible vulnerabilidad de seguridad podrá comunicarla mediante el canal habilitado por la plataforma. Se solicita realizar cualquier reporte de forma responsable, evitando acceder, copiar, modificar o divulgar información que no sea necesaria para demostrar el problema.
69. Prohibición de explotación de vulnerabilidades
El descubrimiento de una vulnerabilidad no autoriza a utilizarla para acceder a datos, alterar ofertas, modificar adjudicaciones, obtener información de terceros, interrumpir el servicio o realizar cualquier acción que exceda una comprobación mínima y responsable.
70. Confidencialidad de la arquitectura interna
Por razones de seguridad, la plataforma no publicará necesariamente detalles sobre su arquitectura interna, estructura de servidores, rutas administrativas, credenciales, mecanismos de recuperación, configuración de bases de datos ni otras medidas cuya divulgación pueda facilitar ataques.
71. Revisión periódica
Las medidas de seguridad podrán revisarse periódicamente considerando cambios tecnológicos, nuevas amenazas, modificaciones de infraestructura, nuevas funciones, incidentes anteriores y naturaleza de la información administrada.
72. Mejoramiento continuo
La plataforma podrá modificar sus controles de seguridad cuando se detecten mecanismos más adecuados para reducir riesgos, corregir vulnerabilidades o mejorar la protección de los usuarios y de las operaciones.
73. Relación con la Política de Privacidad
La presente Política de Seguridad complementa la Política de Privacidad. La Política de Privacidad regula el tratamiento de los datos personales, mientras que esta Política describe los principios generales utilizados para proteger dichos datos y el funcionamiento de la plataforma.
74. Relación con los Términos y Condiciones
El uso de la plataforma y la participación en las subastas se encuentran sujetos a los Términos y Condiciones vigentes. Las conductas que comprometan la seguridad podrán dar lugar a suspensión, bloqueo u otras medidas establecidas en dichos términos.
75. Modificaciones de esta Política
Esta Política de Seguridad podrá actualizarse debido a cambios tecnológicos, operativos, legales o relacionados con nuevas amenazas. La versión vigente deberá permanecer disponible en la plataforma.
76. Contacto de seguridad
La plataforma deberá disponer de un medio de contacto para que usuarios, investigadores o terceros puedan comunicar posibles incidentes, vulnerabilidades, accesos sospechosos o problemas relacionados con la seguridad del sistema.
77. Compromiso de seguridad
La plataforma procurará mantener medidas técnicas y organizativas razonables destinadas a proteger a sus usuarios, la información almacenada y la integridad de las operaciones de subasta, adaptando dichas medidas a la evolución de los riesgos y de la tecnología.