Política de Seguridad de Xtiende

Esta Política tiene carácter informativo y debe leerse conjuntamente con los Términos y Condiciones Generales, la Política de Privacidad, la Política de Cookies y las demás políticas de Xtiende.

Por razones de seguridad, Xtiende no publicará detalles técnicos que puedan facilitar ataques, accesos no autorizados, evasión de controles o explotación de vulnerabilidades.

Razón social

Xtiende Holding LLC

Nombre comercial

Xtiende

Tipo de entidad

Limited Liability Company

Estado de constitución

Delaware, Estados Unidos

Domicilio registrado

8 The Green, Suite R, Dover, Delaware 19901, EE.UU.

Sitio web

https://xtiende.com

Correo de seguridad

contacto@xtiende.com

Los reportes relacionados con accesos sospechosos, vulnerabilidades, pérdida de credenciales o posibles incidentes deberán enviarse a ese correo.

Esta Política explica cómo Xtiende procura proteger la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información, la resiliencia de sus servicios y los derechos de los usuarios.

La seguridad se administra de manera proporcional a la naturaleza de los datos, su sensibilidad, volumen, funcionalidades utilizadas, nivel de riesgo, tecnología disponible, etapa operativa de Xtiende y obligaciones legales aplicables.

Esta Política se aplica al sitio web, registro, cuentas personales y empresariales, credenciales, perfiles, publicaciones, oportunidades, chat, archivos adjuntos, documentos, verificaciones, pagos, herramientas de inteligencia artificial, proveedores, registros técnicos, bases de datos, soporte e infraestructura relacionada.

También se aplica, cuando corresponda, a empleados, administradores, desarrolladores, contratistas, asesores y proveedores que accedan a sistemas o datos de Xtiende.

Xtiende procurará mantener un enfoque basado en riesgos. Las medidas podrán variar según probabilidad, gravedad, tipo de información, usuarios afectados, nivel de acceso, función del sistema y amenazas conocidas.

La Federal Trade Commission recomienda conocer qué información se posee, conservar únicamente lo necesario, protegerla, eliminar de forma segura lo que ya no se necesite y mantener un plan de respuesta ante incidentes.

Xtiende procurará incorporar criterios de seguridad desde la planificación, desarrollo, prueba y lanzamiento, incluyendo minimización de datos, permisos por defecto, separación de funciones públicas y privadas, validación de entradas, revisión de dependencias y pruebas antes de publicar cambios.

Xtiende podrá utilizar correo electrónico, contraseña, códigos de verificación, enlaces temporales, autenticación multifactor, validaciones de sesión y verificación adicional frente a accesos sospechosos.

El Usuario debe utilizar contraseñas seguras, no reutilizarlas, no compartirlas, cambiarlas si sospecha compromiso y proteger los dispositivos desde los que accede. Xtiende nunca solicitará la contraseña completa por correo, chat, teléfono o soporte.

Xtiende podrá habilitar o exigir autenticación multifactor para administradores, usuarios internos, cuentas empresariales, funciones sensibles, documentos, cambios importantes, actividades de alto riesgo y recuperación de credenciales.

Xtiende podrá aplicar límites de intentos fallidos, bloqueos temporales, verificación adicional, detección de actividad automatizada, análisis de IP, control de sesiones, cierre de sesiones sospechosas y alertas de accesos inusuales.

Xtiende podrá utilizar identificadores de sesión para mantener autenticación y proteger navegación. Las sesiones podrán expirar, cerrarse por inactividad, invalidarse al cambiar contraseña o revocarse cuando una empresa retire permisos.

La recuperación podrá usar correo verificado, códigos temporales, enlaces limitados, validación de identidad, revisión manual, confirmación empresarial y medidas adicionales según riesgo.

Las cuentas empresariales podrán tener roles y niveles de acceso para administrar empresa, editar perfil, gestionar usuarios, publicar, responder solicitudes, acceder a chats, documentos, verificaciones, planes, facturación o configuraciones sensibles.

Xtiende procurará aplicar el principio de mínimo privilegio, otorgando solamente los accesos razonablemente necesarios para cada función.

Los administradores deben invitar personas autorizadas, asignar permisos adecuados, revisar accesos, retirar permisos cuando una persona deje la empresa, evitar cuentas compartidas, actualizar datos e informar conflictos o accesos indebidos.

Información pública

Nombre comercial, logotipo, descripción, productos, servicios, publicaciones, oportunidades, ubicación comercial general y certificaciones publicadas.

Información interna o restringida

Datos privados de contacto, configuraciones, registros técnicos, soporte, identificadores de pago y permisos.

Información confidencial o sensible

Documentos de identidad, documentos legales, poderes, credenciales, información de autenticación, financiera, tributaria o relacionada con incidentes.

La carga de fotografías o copias de documentos personales es opcional por ahora, salvo que Xtiende informe que una verificación la requiere. Si se cargan, Xtiende procurará limitar acceso, evitar publicación, restringir descarga, registrar accesos relevantes y conservarlos solo por un período razonable.

Para verificar empresas, Xtiende podrá solicitar documentos legales, tributarios, registrales o de representación según país y tipo jurídico. Estos documentos no se mostrarán públicamente y se protegerán mediante acceso limitado, almacenamiento controlado y revisión autorizada.

Xtiende procurará proteger la información durante su transmisión mediante HTTPS, cifrado en tránsito, transmisión segura entre servicios, protección de credenciales, canales controlados para documentos y enlaces temporales o firmados.

Xtiende procurará solicitar datos relacionados con finalidades concretas, diferenciar datos obligatorios y opcionales, evitar duplicaciones, limitar carga de documentos, restringir contenido visible y anonimizar o eliminar información cuando corresponda.

Xtiende conservará información mientras sea necesaria para cuentas, verificaciones, operación, obligaciones legales, pagos, prevención de fraude, controversias o protección de derechos. Cuando deje de ser necesaria, podrá eliminarla, anonimizarla, bloquearla o aislarla.

Xtiende podrá utilizar infraestructura propia o de proveedores externos con controles de acceso, segmentación lógica, reglas de red, protección frente a tráfico malicioso, monitoreo, configuración segura, gestión de identidades, actualizaciones, respaldos, registros técnicos y redundancia razonable.

Xtiende procurará aplicar revisión de código, control de versiones, separación de ambientes, pruebas antes de producción, validación de entradas, control de dependencias, actualización de librerías, protección de secretos, limitación de privilegios y corrección de vulnerabilidades.

Xtiende procurará separar razonablemente ambientes de desarrollo, pruebas, demostraciones y producción, evitando usar información personal real en pruebas cuando sea posible.

Claves, tokens, certificados y secretos técnicos deberán mantenerse fuera del código público y restringirse por necesidad, con almacenamiento seguro, rotación, revocación, permisos limitados y separación por ambiente cuando corresponda.

Xtiende procurará mantener actualizados sistemas, librerías, frameworks, herramientas de seguridad, servicios externos y dependencias. Las vulnerabilidades se priorizarán según gravedad, exposición, sistemas afectados e información involucrada.

Según riesgo y madurez, Xtiende podrá realizar revisiones técnicas, escaneos, pruebas de configuración y acceso, pruebas de recuperación, análisis de dependencias, evaluación de proveedores, pruebas de penetración y revisión de incidentes anteriores.

Xtiende podrá utilizar proveedores de alojamiento, infraestructura, bases de datos, almacenamiento, autenticación, correo, analítica, soporte, pagos, IA, verificación, prevención de fraude, monitoreo y respaldos, considerando reputación, medidas de seguridad, certificaciones, gestión de incidentes y términos contractuales.

Los proveedores deberán recibir solo el acceso razonablemente necesario. Xtiende procurará establecer obligaciones de confidencialidad, seguridad, finalidad, duración, notificación de incidentes, subcontratistas y devolución o eliminación de datos.

Cuando use proveedores de IA, Xtiende procurará enviar solo información necesaria, evitar credenciales, limitar documentos privados, revisar conservación, evaluar términos, restringir entrenamiento con información confidencial y revisar resultados automatizados.

Los pagos podrán ser procesados por Stripe, dLocal, bancos, emisores u otros proveedores habilitados. Xtiende no almacena directamente el número completo de tarjeta ni el código de seguridad.

Xtiende podrá mantener respaldos para recuperar datos, restaurar funciones, corregir fallas, responder a incidentes y mantener continuidad. Podrán mantenerse en sistemas separados, con controles de acceso, períodos definidos y pruebas periódicas.

Xtiende procurará mantener procedimientos para fallas de infraestructura, pérdida de disponibilidad, ataques, errores de software, eliminación accidental, problemas de proveedores, desastres físicos e interrupciones prolongadas.

Xtiende podrá priorizar funciones esenciales como autenticación, acceso a cuentas, protección de datos, comunicaciones de seguridad, soporte, pagos, recuperación de información y operación básica.

Xtiende procurará mantener la Plataforma disponible, pero no garantiza funcionamiento ininterrumpido, ausencia total de errores, recuperación instantánea, continuidad de proveedores ni disponibilidad permanente de cada función.

Xtiende podrá mantener controles para detectar accesos no autorizados, intentos repetidos, patrones anómalos, tráfico malicioso, fraude, abuso, errores técnicos, cambios no autorizados, uso automatizado y actividad incompatible con las políticas.

Xtiende podrá conservar registros técnicos de autenticaciones, permisos, carga o descarga de documentos, modificaciones importantes, operaciones administrativas, errores, eventos de seguridad, IP, fechas, dispositivos y acciones dentro de la cuenta.

Un incidente puede incluir acceso no autorizado, exposición de datos, filtración, pérdida, alteración, destrucción, robo de credenciales, malware, ransomware, vulneración de proveedor, publicación accidental, uso indebido interno, indisponibilidad significativa o descarga no autorizada.

• Registrar el reporte y evaluar su credibilidad.
• Contener la amenaza y restringir accesos.
• Preservar evidencia e identificar sistemas afectados.
• Determinar la información involucrada.
• Corregir vulnerabilidades y recuperar servicios.
• Coordinar con proveedores y asesores.
• Evaluar notificaciones, documentar decisiones y aplicar mejoras posteriores.

Xtiende procurará mantener un plan interno con responsables, decisiones, comunicación, escalamiento, preservación de evidencia, coordinación técnica, evaluación legal, proveedores, recuperación, notificación y análisis posterior. No se publica por seguridad.

Xtiende notificará a usuarios afectados cuando la ley lo exija, exista riesgo relevante, la comunicación permita medidas de protección o una autoridad lo ordene. No divulgará detalles que perjudiquen investigaciones o aumenten riesgos.

Xtiende evaluará notificaciones a autoridades según ubicación, tipo de información, riesgo, cantidad de titulares y leyes aplicables. Todos los estados de EE.UU. cuentan con normas de notificación de brechas, aunque sus requisitos varían.

Estados Unidos no cuenta con una única ley federal general de seguridad aplicable igual a todas las empresas. Pueden aplicar la Federal Trade Commission Act, leyes estatales de brechas, privacidad, normas sectoriales, obligaciones contractuales y reglas específicas según datos y jurisdicción.

La FTC puede intervenir frente a prácticas de seguridad o privacidad desleales o engañosas. Xtiende procurará no afirmar controles inexistentes, no prometer seguridad absoluta, mantener prácticas coherentes, corregir vulnerabilidades, limitar accesos y controlar proveedores.

Cuando Xtiende conduzca negocios en Delaware y posea o licencie información personal computarizada de residentes de ese estado, podrá estar sujeta al Título 6, Capítulo 12B del Delaware Code y notificar sin demora injustificada, en general dentro de 60 días desde la determinación de la brecha, salvo excepciones.

Cuando resulte aplicable, Xtiende procurará implementar medidas administrativas, técnicas y físicas razonables para proteger confidencialidad, integridad y accesibilidad de los datos personales. Su constitución en Delaware no implica que todas las disposiciones apliquen a todas las relaciones B2B.

El Usuario debe usar contraseñas seguras, activar MFA cuando esté disponible, mantener actualizado su correo, revisar autorizados, evitar compartir cuentas, no entregar códigos, no abrir enlaces sospechosos, verificar remitentes, proteger dispositivos, revisar archivos e informar incidentes rápidamente.

El Usuario debe desconfiar de comunicaciones que soliciten contraseñas, códigos, pagos fuera de canales informados, dominios extraños, amenazas de cierre, archivos sospechosos o documentos sin finalidad clara.

En equipos compartidos, el Usuario debe cerrar sesión, no guardar contraseñas, evitar descargar documentos, eliminar archivos temporales, no permitir acceso a terceros y verificar cierre de sesión.

Antes de compartir archivos, el Usuario debe verificar destinatario, información necesaria, datos de terceros, ausencia de malware, autorización para compartir y cumplimiento de confidencialidad.

El Usuario podrá reportar accesos no reconocidos, robo de credenciales, pérdida de dispositivo, phishing, exposición de datos, documentos visibles por error, cuentas fraudulentas, vulnerabilidades, archivos maliciosos o actividad sospechosa a contacto@xtiende.com con el asunto "Reporte urgente de seguridad". No deben enviarse contraseñas, códigos ni datos completos de tarjetas.

Quienes detecten vulnerabilidades deben actuar de buena fe y no acceder a datos ajenos, descargar información, alterar registros, interrumpir servicios, instalar malware, realizar denegación de servicio, publicar antes de corrección ni exigir pagos mediante amenazas. Esta Política no constituye programa de recompensas.

Xtiende podrá confirmar recepción, solicitar antecedentes, clasificar gravedad, reproducir el problema, aplicar medidas temporales, corregir vulnerabilidades, coordinar con proveedores, limitar accesos e informar al reportante cuando resulte apropiado.

Ningún sistema, red, nube, transmisión o almacenamiento puede garantizar seguridad absoluta. Pueden existir riesgos por ataques sofisticados, errores humanos, vulnerabilidades desconocidas, fallas de proveedores, dispositivos comprometidos, credenciales robadas, fuerza mayor o terceros.

Xtiende podrá omitir información sobre arquitectura, ubicaciones, configuraciones, proveedores críticos, reglas antifraude, detección, vulnerabilidades, procesos internos e investigaciones activas para evitar comprometer la Plataforma.

Xtiende podrá actualizar esta Política por cambios legales, técnicos, operativos, de proveedores, infraestructura, riesgos, funcionalidades o prácticas de seguridad. La versión vigente indicará fecha de actualización.

La Política de Privacidad regula datos personales; la Política de Cookies regula tecnologías de seguimiento; los Términos y Condiciones regulan uso de la Plataforma; y esta Política describe medidas y principios generales de seguridad.

Esta Política se interpretará considerando leyes federales aplicables de Estados Unidos, leyes del Estado de Delaware, normas obligatorias del país donde se encuentre el Usuario y legislación chilena cuando corresponda.

La versión original y prevalente es la versión en español. Xtiende podrá publicar traducción al inglés. En caso de diferencias, prevalecerá la versión en español, salvo norma obligatoria distinta.

Razón social

Xtiende Holding LLC

Nombre comercial

Xtiende

Correo

contacto@xtiende.com

Sitio web

https://xtiende.com

Domicilio

8 The Green, Suite R, Dover, Delaware 19901, EE.UU.