La seguridad es un principio fundamental.

Esta página proporciona una visión general de nuestras prácticas, políticas y compromisos de seguridad. Estamos comprometidos con la transparencia sobre cómo protegemos sus datos y mantenemos la confianza que deposita en nosotros.

1. Protección de datos y roles de privacidad

AlloraHR opera bajo un modelo claro de gobernanza de datos que define los roles y responsabilidades de todas las partes involucradas en el procesamiento de datos personales. Alineamos nuestras prácticas con principios de protección de datos reconocidos internacionalmente y regulaciones aplicables.

• NTD Software S. de R.L. de C.V. (AlloraHR) actúa como procesador de datos cuando procesa datos personales en nombre de nuestros clientes.
• Nuestros clientes actúan como controladores de datos y determinan los propósitos y medios del procesamiento de los datos de sus empleados.
• Procesamos datos personales estrictamente de acuerdo con las instrucciones documentadas de nuestros clientes.
• Mantenemos registros de las actividades de procesamiento según lo requieren las leyes aplicables.

Para más información, consulte nuestro Aviso de privacidad y el Anexo de procesamiento de datos.

2. Cifrado

AlloraHR protege las comunicaciones y utiliza los controles de cifrado disponibles en su infraestructura administrada. No ofrecemos cifrado de extremo a extremo: AlloraHR y sus proveedores autorizados pueden procesar el contenido cuando es necesario para prestar el servicio.

2.1 Cifrado en tránsito

• Las comunicaciones entre el navegador, las aplicaciones y nuestros servicios utilizan conexiones TLS.
• Las llamadas a API y transferencias de datos utilizan conexiones cifradas cuando el protocolo lo permite.

2.2 Protección en infraestructura

• La plataforma utiliza infraestructura administrada en AWS.
• La configuración efectiva de cifrado en reposo, respaldos y gestión de llaves se confirma en la revisión técnica del entorno de producción.
• Los secretos de servicio deben administrarse fuera del código de la aplicación.

3. Controles de acceso y autenticación

La plataforma contempla roles y permisos para separar las acciones disponibles por empresa y función.

• Roles y permisos configurables según el perfil del usuario.
• Aislamiento lógico de información por organización.
• Gestión de usuarios, invitaciones y accesos.
• MFA se confirma según la configuración contratada.
• SSO con Google y Microsoft permanece en la hoja de ruta y no se presenta actualmente como capacidad disponible.

La autorización de backend, los endpoints heredados, exportaciones y acciones de superadministradores requieren pruebas técnicas antes de asumir una cobertura completa.

4. Seguridad de infraestructura, respaldos y alojamiento

AlloraHR utiliza un backend en Java alojado en infraestructura de AWS. Las ubicaciones y configuraciones efectivas se confirman para cada entorno cuando corresponde.

• La región y residencia efectiva de los datos se confirman en la revisión del entorno de producción.
• La frecuencia, retención y cobertura de respaldos deben validarse en las consolas correspondientes y documentarse contractualmente.
• No publicamos una garantía de recuperación ni tiempos RTO/RPO mientras no exista una prueba de restauración documentada.

5. Monitoreo, auditoría y respuesta a incidentes

AlloraHR conserva registros técnicos y funcionales en determinados módulos; actualmente no existe una bitácora única, inmutable y exportable que cubra todas las acciones del sistema.

• Existen registros parciales de accesos, consentimientos, políticas, firmas, activos, llaves de API y otros eventos relevantes.
• Los campos registrados y las personas autorizadas para consultarlos varían según el módulo.
• No afirmamos que los registros sean inmutables ni que exista una política uniforme de conservación para toda la auditoría.
• Los eventos de uso técnico no deben confundirse con una auditoría funcional completa de negocio.
• La notificación de incidentes se realizará conforme a la ley y a las obligaciones contractuales aplicables.

6. Gestión de vulnerabilidades

La revisión de vulnerabilidades forma parte del trabajo técnico de mantenimiento. La frecuencia, cobertura y evidencia de escaneos, revisiones de código o pruebas de penetración no se presentan como un programa certificado mientras no exista documentación verificable para el entorno de producción.

• Actualización de dependencias según prioridad y riesgo.
• Revisión técnica de hallazgos reportados.
• Correcciones sujetas a evaluación, pruebas y despliegue controlado.
• Canal de reporte para posibles vulnerabilidades.

Si considera que descubrió una vulnerabilidad, repórtela a ayuda@allorahr.com.

7. Seguridad y personal autorizado

El acceso interno a información de clientes debe limitarse a las personas que lo requieren para prestar el servicio.

• Acuerdos de confidencialidad aplicables.
• Accesos asignados según función y necesidad operativa.
• Revocación de accesos como parte de la desvinculación.
• Lineamientos internos de manejo de información.

La frecuencia de capacitaciones, verificaciones de antecedentes y revisiones formales se confirma en procesos de evaluación cuando exista evidencia vigente.

8. Uso de subprocesadores

AlloraHR utiliza proveedores externos para prestar componentes del servicio. La lista pública identifica a los subprocesadores confirmados y su función.

• Relación de proveedores que pueden tratar datos.
• Finalidad general del servicio contratado.
• Condiciones de tratamiento establecidas contractualmente cuando corresponda.
• Actualización de la lista ante cambios materiales confirmados.

Consulte la Lista de subprocesadores y el Anexo de procesamiento de datos.

9. Posicionamiento de cumplimiento

AlloraHR está diseñado para ayudar a sus clientes a cumplir obligaciones aplicables. Alineamos nuestras prácticas con:

• Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México.
• Buenas prácticas y estándares reconocidos de seguridad.
• Requisitos aplicables a datos de Recursos Humanos.

10. Responsabilidades de seguridad del cliente

La seguridad es una responsabilidad compartida. Los clientes deben:

• Mantener contraseñas fuertes y únicas.
• Habilitar la autenticación multifactor cuando esté disponible.
• Configurar y mantener permisos de acceso.
• Reportar actividades sospechosas o incidentes.
• Asegurar la recopilación y el procesamiento legal de datos.
• Mantener la precisión y relevancia de los datos.
• Revisar periódicamente registros de acceso y actividad.
• Seguir las pautas de seguridad proporcionadas.

11. Información de contacto

Para consultas de seguridad, reportes de vulnerabilidades o preguntas sobre nuestras prácticas: