Política de Seguridad de la Información — Collaborator

Fecha de entrada en vigor: 4 de marzo de 2025

1. Introducción

La plataforma Collaborator (collaborator.pro) es gestionada por I.M. COLLABORATOR LTD, sociedad constituida conforme a la legislación de la República de Chipre, con número de registro HE 403087 y domicilio social en Peiraios, 30, 1st floor, Flat / Office 1, Strovolos, 2023, Nicosia, Chipre. En la presente política, “Collaborator” hace referencia a I.M. COLLABORATOR LTD.

Collaborator (collaborator.pro) es un mercado de marketing de contenidos y de construcción de enlaces que pone en contacto a anunciantes con editores de todo el mundo. Nuestra plataforma permite a los anunciantes encontrar, encargar y gestionar la publicación de contenidos en los sitios web de los editores, mientras que los editores reciben y ejecutan los pedidos de publicación a través de sus cuentas de Collaborator.

Dada la naturaleza de nuestra actividad – en la que dos partes diferenciadas interactúan, comparten información y realizan operaciones a través de una única plataforma – la seguridad de los datos de los usuarios, de la información de las cuentas y de los registros de las operaciones constituye una prioridad absoluta. Collaborator ha implantado un programa interno formal de seguridad de la información que abarca la gestión de accesos, la protección de la infraestructura, la respuesta ante incidentes, las copias de seguridad y la recuperación, así como la seguridad del personal. El presente documento resume nuestro nivel de seguridad para clientes, editores y socios.

El presente documento se facilita con carácter meramente informativo sobre las prácticas de seguridad de Collaborator. Nada de lo dispuesto en él podrá interpretarse como una oferta, una garantía o un compromiso contractual, ni como generador de derechos a favor de terceros. Cuando un acuerdo entre Collaborator y una contraparte regule una cuestión tratada en este documento, prevalecerá dicho acuerdo.

2. Cómo fluyen los datos en la plataforma Collaborator

Collaborator opera como un mercado intermediario. No publicamos contenidos por cuenta propia, sino que facilitamos las operaciones entre anunciantes y editores. Comprender cómo se gestionan los datos entre los participantes de la plataforma es fundamental para nuestro enfoque de seguridad.

Visibilidad de los perfiles de anunciantes y editores

Cuando un anunciante realiza un pedido a un editor, determinada información del perfil se comparte entre ambas partes para facilitar la relación comercial, como el nombre de la empresa, los detalles de la campaña y las especificaciones del pedido. Collaborator limita dicha visibilidad a lo estrictamente necesario desde el punto de vista operativo. Los datos sensibles de la cuenta, los datos de facturación y las credenciales privadas nunca se muestran a la otra parte.

Datos de contenidos y publicaciones

Las instrucciones de contenido, los requisitos de publicación y las URL publicadas se comparten entre anunciantes y editores a través de la plataforma. Los editores conservan el pleno control de sus propios sitios web; Collaborator no dispone de acceso administrativo ni al CMS de los sitios web de los editores. La verificación de las publicaciones se realiza exclusivamente comprobando URL de acceso público.

Lo que Collaborator no hace

No accede a los sistemas internos (backend), a los CMS ni a los paneles de administración de los sitios web de los editores
No comparte los datos privados de la cuenta ni los datos de facturación de un usuario con otro usuario
No vende datos de los usuarios a terceros con ninguna finalidad
No almacena los datos completos de las tarjetas de pago en sus propios servidores

3. Datos que recopilamos y tratamos

Datos de la cuenta y del perfil

Nombre, denominación de la empresa, dirección de correo electrónico y credenciales de acceso de los usuarios registrados
URL de los sitios web de los editores, categorías temáticas, métricas de tráfico y precios facilitados por los editores
Preferencias de campaña de los anunciantes, mercados objetivo y requisitos de contenido

Datos de operaciones y pedidos

Historial de pedidos, registros de publicación de contenidos y registros de las comunicaciones entre anunciantes y editores
Metadatos de las operaciones (identificadores, importes, estado del pago) – Collaborator no almacena directamente los datos completos de las tarjetas
Facturas y registros de facturación conservados a efectos contables y de cumplimiento legal

Datos técnicos y de uso

Direcciones IP, información sobre dispositivos y datos de sesión recopilados con fines de seguridad y de prevención del fraude
Registros de actividad en la plataforma utilizados para la resolución de controversias, la prevención de abusos y la mejora del servicio

4. Seguridad de la infraestructura y de la nube

La plataforma de Collaborator está alojada en infraestructura en la nube de varios proveedores, entre ellos Amazon Web Services (AWS), DigitalOcean, OVH y Hetzner. Este enfoque multiproveedor garantiza la redundancia geográfica y elimina los puntos únicos de fallo.

Todos los sistemas de producción se despliegan en entornos aislados de nube privada virtual (VPC) con una estricta segmentación de la red
Los cortafuegos y los grupos de seguridad bloquean por defecto todo el tráfico entrante; solo se permiten los servicios y puertos expresamente autorizados
La infraestructura se supervisa de forma continua mediante herramientas centralizadas con alertas automáticas ante actividades anómalas, cambios de acceso y problemas de disponibilidad del servicio
Los registros de acceso SSH, del servidor web y de los servicios del sistema se conservan durante 30 días a efectos de auditoría de seguridad e investigación de incidentes

5. Protección y cifrado de datos

Todos los datos transmitidos entre los usuarios y la plataforma Collaborator se cifran en tránsito mediante TLS 1.2 o superior
Los datos sensibles almacenados en nuestros sistemas se cifran en reposo
Las contraseñas de los usuarios se almacenan mediante funciones hash criptográficas unidireccionales; las contraseñas nunca se almacenan en texto plano ni pueden recuperarse
Datos de pago: Collaborator almacena únicamente los metadatos de las operaciones. Los datos completos de las tarjetas son tratados y almacenados exclusivamente por nuestro(s) procesador(es) de pagos externo(s) certificado(s) y nunca se transmiten a los servidores propios de Collaborator ni se almacenan en ellos

6. Copias de seguridad y recuperación ante desastres

Collaborator mantiene un programa documentado de copias de seguridad y recuperación ante desastres con objetivos de recuperación definidos.

Las copias de seguridad de las bases de datos se realizan automáticamente cada 24 horas
Las copias de seguridad se replican en tres ubicaciones de almacenamiento externas e independientes: Amazon Web Services S3, un servidor dedicado de DigitalOcean y un servidor dedicado de OVH, lo que proporciona redundancia geográfica y a nivel de proveedor
Recovery Time Objective (RTO): hasta 4 horas para los sistemas críticos
Recovery Point Objective (RPO): hasta 24 horas
Los valores de RTO y RPO indicados son objetivos internos de planificación, medidos en condiciones normales de funcionamiento, y no constituyen una garantía de nivel de servicio
Los procedimientos de recuperación se prueban al menos trimestralmente para verificar que los datos pueden restaurarse correctamente
El almacenamiento de las copias de seguridad está sujeto a control de acceso y aislado de los entornos de producción

7. Control de acceso y gestión de identidades

En todos los sistemas internos se aplica el control de acceso basado en roles (RBAC): cada empleado recibe únicamente el acceso necesario para su función concreta (principio de mínimo privilegio)
Cada empleado y contratista dispone de una cuenta individual – no se permite el uso de credenciales compartidas
Se exige la autenticación multifactor (MFA) para todo acceso a los sistemas críticos y a la infraestructura de producción
Todas las acciones administrativas en los sistemas de producción quedan registradas y son auditables
Los derechos de acceso se revisan al menos trimestralmente y se revocan inmediatamente tras la desvinculación de un empleado o contratista, a más tardar el último día de trabajo
En las desvinculaciones urgentes (despidos por causa justificada), el acceso se revoca de inmediato, a cualquier hora del día

8. Aislamiento de los datos de los usuarios y seguridad del mercado

Como mercado bilateral, Collaborator aplica controles específicos para garantizar que los datos de anunciantes y editores permanezcan debidamente aislados:

Cada cuenta de usuario funciona dentro de una sesión segura; los usuarios solo pueden acceder a los datos asociados a su propia cuenta
Los datos de los pedidos y de las campañas solo son visibles para el anunciante y el editor concretos que intervienen en la operación
Collaborator nunca solicita ni recibe las credenciales de los sitios web de los editores ni el acceso a sus CMS
La información de facturación de los anunciantes no es visible para los editores, y viceversa
Los registros de acceso a la plataforma permiten detectar intentos no autorizados de acceder a los datos de otros usuarios

9. Gestión de vulnerabilidades y de parches

Los parches de seguridad de los sistemas operativos y servicios de los servidores se aplican en función de la prioridad del riesgo; los parches críticos se aplican sin demora
Las dependencias de las aplicaciones y las bibliotecas de terceros se supervisan para detectar vulnerabilidades conocidas y se actualizan cuando es necesario
Durante el desarrollo, el código de las aplicaciones se revisa para detectar vulnerabilidades de seguridad habituales
Periódicamente se realizan evaluaciones de seguridad y pruebas de penetración para valorar la eficacia de los controles
Cuando un parche no puede aplicarse de inmediato, se implantan controles compensatorios (segmentación de la red, registro reforzado, reglas de WAF o aislamiento temporal de funcionalidades) hasta que se complete la corrección

10. Respuesta ante incidentes de seguridad

Collaborator mantiene un plan documentado de respuesta ante incidentes, con roles definidos, vías de escalamiento y objetivos de tiempo de respuesta según la gravedad del incidente.

Clasificación de los incidentes

P1 – Crítico: interrupción grave del servicio, violación de datos confirmada o compromiso de las credenciales de administrador de producción. Escalado: inmediato, 24/7
P2 – Alto: compromiso de una cuenta individual, fallo de una copia de seguridad o actividad maliciosa en un nodo del sistema. Escalado: en un plazo de 1 hora
P3 – Medio: intento aislado de phishing, incumplimiento de la configuración. Escalado: en un plazo de 1 día hábil
P4 – Bajo: observaciones, mejoras menores del registro. Resolución: según la planificación

Proceso de respuesta

Tras su detección, el incidente se comunica de inmediato a través del canal interno designado y se clasifica según su gravedad
Se adoptan medidas iniciales de contención: revocación de accesos, aislamiento de nodos, rotación de credenciales y restricción del tráfico
Las pruebas (registros, cronologías, instantáneas) se conservan antes de adoptar cualquier medida de corrección
Tras la contención, se realiza un análisis de la causa raíz y se definen medidas correctoras, cuyo seguimiento se lleva a cabo
En caso de violación de datos que afecte a los datos de los usuarios, Collaborator lo notificará sin demora a los usuarios afectados, de conformidad con la legislación aplicable y las obligaciones contractuales

11. Seguridad y formación del personal

Todos los empleados y contratistas firman acuerdos de confidencialidad antes de recibir acceso a los sistemas
Los nuevos empleados reciben una formación inicial en seguridad antes de obtener acceso completo, que abarca las buenas prácticas en materia de contraseñas, la concienciación sobre el phishing, el tratamiento de datos y la notificación de incidentes
Todo el personal con acceso a los sistemas recibe anualmente formación de concienciación en materia de seguridad
Tras incidentes de seguridad o cambios en las políticas, puede asignarse formación específica adicional
Los procedimientos de desvinculación incluyen la revocación inmediata de todas las credenciales, tokens, accesos VPN, accesos a repositorios y permisos en servicios en la nube

12. Proveedores externos y subencargados del tratamiento

Collaborator colabora con proveedores externos para el alojamiento de la infraestructura, el procesamiento de pagos y otras funciones de la plataforma. A todas las relaciones con terceros se aplican los siguientes controles:

Antes de su contratación, se evalúan el nivel de seguridad y el cumplimiento contractual de los nuevos proveedores con acceso a datos de clientes o a sistemas de producción
Todos los subencargados que tratan datos personales están sujetos a obligaciones contractuales de protección de datos
Los contratistas reciben únicamente un acceso temporal y limitado, con una finalidad definida, y están sujetos a los mismos requisitos de seguridad que los empleados
Los procesadores de pagos utilizados por Collaborator cuentan con la certificación PCI DSS; los datos completos de las tarjetas de pago se tratan exclusivamente en sus entornos certificados
Las integraciones con terceros se revisan periódicamente para comprobar que siguen siendo necesarias y que cumplen los requisitos de seguridad

13. Monitoreo y registro

Collaborator dispone de una infraestructura centralizada de supervisión y registro que permite la detección temprana de eventos de seguridad y anomalías del servicio.

Los eventos de autenticación, los cambios en los derechos de acceso, las acciones administrativas, los cambios de configuración y los errores del servicio se recogen en registros centralizados
Se han configurado alertas automáticas para eventos críticos, como cambios de acceso, fallos de las copias de seguridad, errores de despliegue, cambios de credenciales y patrones de carga anómalos
Los registros de la infraestructura (acceso SSH, servidor web, servicios del sistema) se conservan durante 30 días
El acceso a los registros está restringido al personal autorizado; los registros no pueden modificarse ni eliminarse sin un procedimiento aprobado

14. Privacidad y cumplimiento normativo

Collaborator trata datos personales de usuarios de Ucrania, de la Unión Europea y de otras jurisdicciones de conformidad con la normativa de protección de datos aplicable, incluidas la Ley de Ucrania sobre Protección de Datos Personales y el Reglamento General de Protección de Datos de la UE (RGPD).

Los datos se recogen y tratan únicamente con fines determinados y legítimos y sobre una base jurídica válida
Los datos personales no se conservan más allá del plazo necesario para la finalidad para la que se recogieron, salvo que la legislación aplicable exija lo contrario
Los usuarios tienen derecho a acceder a sus datos personales, rectificarlos y solicitar su supresión – las solicitudes pueden dirigirse a [email protected]
Collaborator no vende a terceros datos personales de anunciantes, editores ni de ningún otro usuario de la plataforma
Para obtener información completa sobre las prácticas de tratamiento de datos, le rogamos que consulte la Política de Privacidad de Collaborator en collaborator.pro

15. Alineación con normas y certificación

En esta sección se expone la posición de Collaborator en relación con la certificación conforme a normas internacionales de seguridad de la información.

El programa de seguridad de la información de Collaborator está estructurado tomando como referencia normas internacionales reconocidas, entre ellas la ISO/IEC 27001. A la fecha de la presente política, el programa no se ha sometido a certificación formal conforme a las normas ISO/IEC 27001 o ISO/IEC 27701, ni a un informe de atestación SOC 2 o SOC 3. La certificación conforme a estas normas es voluntaria: el RGPD exige medidas técnicas y organizativas adecuadas al riesgo y considera la certificación como uno de los medios para demostrar el cumplimiento, y no como un requisito.

Collaborator evalúa de forma continuada la conveniencia de obtener una certificación formal a la luz del volumen de sus operaciones, los requisitos de sus clientes y la evolución normativa. Cualquier cambio en la situación de certificación se reflejará en una versión posterior de la presente política.

Al valorar si la certificación está justificada, Collaborator tiene en cuenta la naturaleza de la información tratada en la plataforma:

Collaborator no trata categorías especiales de datos personales, como datos de salud, biométricos o genéticos
Collaborator no almacena los datos completos de las tarjetas de pago, lo que reduce sustancialmente el alcance de los requisitos PCI DSS aplicables a Collaborator
Los datos personales tratados se limitan a lo necesario para el funcionamiento del mercado: datos de contacto de los usuarios corporativos, parámetros de los pedidos y metadatos de las operaciones

Las siguientes medidas respaldan el nivel de seguridad de Collaborator:

La infraestructura de Collaborator está alojada en grandes proveedores de servicios en la nube que disponen de sus propias certificaciones de seguridad independientes
El procesamiento de pagos corre a cargo de proveedores que cumplen las normas de seguridad de los datos de tarjetas reconocidas en el sector
Las medidas descritas en la presente política están documentadas en procedimientos internos y se revisan periódicamente.

16. Revisión de la política y contacto

La presente política se revisa y actualiza tras cambios significativos en la infraestructura, las operaciones o los requisitos legales aplicables a Collaborator y, en todo caso, al menos una vez al año. La versión vigente está publicada en collaborator.pro.

Si tiene alguna pregunta sobre la presente política o sobre las prácticas de seguridad de Collaborator, le rogamos que se ponga en contacto con nosotros en: [email protected]

Collaborator se reserva el derecho de actualizar sus prácticas de seguridad en cualquier momento. El presente documento no revela detalles confidenciales de la infraestructura, credenciales internas ni configuraciones de sistemas propietarias.