Política de Control de Acceso

La Plataforma ExactFlow y el Mercado (Marketplace) ExactFlow son sistemas multiarrendatario (multi-tenant) en los que múltiples clientes, vendedores y compradores comparten una infraestructura común, mientras que sus respectivos datos permanecen sujetos a una estricta separación lógica. La integridad de esa separación depende de la disciplina con la que la Compañía controla el acceso a sus sistemas, incluido el acceso concedido a Socios de Pago y Socios de Entrega cuyos sistemas interoperan con los de la Compañía.

El propósito de esta Política es garantizar que el acceso a los sistemas y Activos de Información de la Compañía se conceda bajo los principios de privilegio mínimo y necesidad de conocer, se autorice antes de ser otorgado, se revise periódicamente y se retire de inmediato cuando ya no sea necesario, en cumplimiento de la obligación de seguridad del tratamiento establecida por el Artículo 32 del RGPD.

Esta Política se aplicará a cada sistema, aplicación, base de datos y almacén de datos que respalde la Plataforma y el Mercado; a usuarios humanos e identidades no humanas, incluidas Cuentas de Servicio (Service Accounts), credenciales de automatización y claves de interfaz de programación de aplicaciones (API keys); y al acceso concedido a Terceros, incluidos Socios de Pago o Socios de Entrega, cuando los sistemas de dichos Terceros interoperen con los sistemas de la Compañía.

El acceso a los Activos de Información se regirá por los principios de privilegio mínimo, necesidad de conocer y denegación por defecto. Estos principios se aplicarán por igual a los usuarios humanos, a las Cuentas de Servicio y a otras identidades no humanas.

El acceso se autenticará a través de un proveedor de identidad centralizado utilizando el inicio de sesión único (SSO) siempre que el sistema subyacente lo admita.

La Autenticación de Múltiples Factores (MFA) será obligatoria para todo acceso administrativo y privilegiado a la infraestructura de producción y consolas de proveedores en la nube, para todo acceso remoto a redes corporativas o de producción, para todo acceso a sistemas que contengan datos personales y, siempre que la Plataforma o el Mercado lo admitan, para cuentas orientadas a vendedores y compradores.

Se preferirá un factor de autenticación basado en aplicación o una clave de seguridad de hardware frente a un factor de autenticación transmitido por SMS.

Cada cuenta estará protegida por una credencial única y sólida, generada y almacenada a través del gestor de contraseñas aprobado por la Compañía.

Las sesiones administrativas estarán sujetas a tiempos de expiración por inactividad, y los tokens de sesión se rotarán tras la escalada de privilegios y se invalidarán al cerrar sesión o cambiar de credencial.

El acceso se concederá mediante el control de acceso basado en roles (RBAC), mediante el cual los permisos se asocian a un rol definido que corresponde a una función laboral, y un individuo se asignará a un rol en lugar de acumular permisos individualmente con el tiempo.

El Acceso Privilegiado se limitará a un grupo nominal y mínimo de individuos, se registrará con mayor detalle y, cuando el sistema subyacente lo permita, se concederá únicamente durante el período requerido.

Cuando sea viable, ningún individuo tendrá un control extremo a extremo no supervisado sobre una acción sensible; cuando no se pueda lograr dicha segregación de funciones, se aplicará un control compensatorio y el riesgo residual se registrará en el Registro de Riesgos.

Los controles de acceso impondrán una separación lógica estricta entre los arrendatarios de la Plataforma, y entre vendedores y compradores individuales en el Mercado, de modo que ningún usuario, proceso o acción administrativa pueda acceder a los datos de otra parte salvo a través de un proceso de soporte documentado y auditado.

El acceso deberá solicitarse y aprobarse antes de ser concedido, identificando al solicitante, el sistema, el nivel de acceso buscado y la justificación comercial. El acceso aprovisionado sin dicha solicitud y aprobación constituirá un fallo de control independientemente de la antigüedad del solicitante.

La persona que comience un empleo o relación contractual recibirá un acceso alineado con el perfil estándar para su rol, y deberá completar el registro en la Autenticación de Múltiples Factores antes del primer acceso.

Ante un cambio de rol, el acceso asociado al rol anterior será retirado y se concederá el acceso adecuado al nuevo rol; no se permitirá la acumulación de accesos.

Al finalizar el empleo o contrato, el acceso se retirará dentro de las dos horas siguientes a la notificación a la función de TI por parte de Recursos Humanos, en cada sistema al que el individuo tenía acceso, y se rotará cualquier credencial compartida a la que haya tenido acceso.

El acceso de usuario y el Acceso Privilegiado se revisarán al menos trimestralmente para confirmar su continua necesidad y nivel adecuado, y se realizará una conciliación de cuentas activas con la lista actual de personal al menos semanalmente.

Una Cuenta de Servicio o clave de interfaz de programación de aplicaciones se limitará a los permisos mínimos requeridos para su propósito específico y no se incrustará en el código fuente ni en archivos de configuración.

El acceso concedido a un Socio de Pago o Socio de Entrega se limitará estrictamente a los datos requeridos para desempeñar la función para la cual se concedió dicho acceso.

Se mantendrá un inventario de Cuentas de Servicio, claves de interfaz de programación de aplicaciones y credenciales de acceso de Terceros, que se revisará junto con la revisión realizada en la Sección 4.4.

El acceso administrativo remoto a los sistemas de producción se permitirá únicamente a través de canales autenticados y protegidos por Autenticación de Múltiples Factores.

La exposición directa de una interfaz administrativa a la internet pública no estará permitida bajo ninguna circunstancia.

El cumplimiento de esta Política será obligatorio. La función de Seguridad será responsable de las revisiones periódicas de acceso y de supervisar el uso del Acceso Privilegiado; la función de TI será responsable de aprovisionar y retirar el acceso de acuerdo con las solicitudes aprobadas.

Toda excepción a esta Política se documentará y aprobará con antelación por el Director de Seguridad de la Información (CISO), registrando el motivo y, si procede, un límite de tiempo.

Esta Política se leerá conjuntamente con la Política de Seguridad de la Información, la Política de Criptografía y Gestión de Claves, la Política de Gestión de Riesgos de Terceros y Socios, y la Política de Confidencialidad y Seguridad de RR. HH.

"Control de Acceso" significa el medio por el cual se concede, limita o retira el derecho a usar, ver o interactuar con un Activo de Información.

"Privilegio Mínimo" significa el principio de que el acceso se limitará al mínimo necesario para desempeñar un rol.

"Acceso Privilegiado" significa los derechos de acceso que superan los de un usuario estándar, incluido el acceso administrativo a la infraestructura, bases de datos o herramientas de seguridad.

"Autenticación de Múltiples Factores" significa la autenticación que requiere dos o más factores independientes de prueba de identidad.

"Cuenta de Servicio" significa una identidad no humana utilizada por un sistema o proceso automatizado para acceder a otro sistema.

Versión 1.0 — Julio de 2026