Datos y seguridadData and security
Cómo se protegen los datos en BraloxHow data is protected in Bralox
Esta página resume, de forma general, cómo se opera Bralox: quién trata los datos, cómo se aíslan las cuentas, qué se cifra, cómo se atienden incidentes y a quién escribir si encuentras una vulnerabilidad.This page summarizes, in general terms, how Bralox is operated: who processes data, how accounts are isolated, what is encrypted, how incidents are handled and whom to write if you find a vulnerability.
- ArquitecturaArchitecture
- CifradoEncryption
- IdentidadesIdentity
- AislamientoIsolation
- InfraestructuraInfrastructure
- VulnerabilidadesVulnerabilities
- ContinuidadContinuity
- IncidentesIncidents
- PrivacidadPrivacy
- ReportarReport
ResponsableController
El responsable del tratamiento es DATA & SECURITY DYNAMICS SAS, NIT 900861960-4, con domicilio en Bogotá, Colombia. Correo de datos personales: legal@dsdynamics.co.The data controller is DATA & SECURITY DYNAMICS SAS, NIT 900861960-4, domiciled in Bogotá, Colombia. Personal-data email: legal@dsdynamics.co.
Qué datos entranWhat data enters
- Cuenta: nombre, correo, usuario, hash de contraseña y perfil opcional.Account: name, email, username, password hash and optional profile.
- Objetivos de evaluación.Assessment targets.
- Hallazgos.Findings.
- Inventario.Inventory.
- Credenciales para pruebas autenticadas, solo si el cliente las carga.Credentials for authenticated tests, only if the customer uploads them.
Qué no entra en la primera etapa de la pruebaWhat does not enter in the first trial stage
La prueba dura 15 días. La primera etapa revisa solo la superficie de ataque externa de un dominio propio. No se conectan bases de datos, credenciales, agente ni red interna.The trial lasts 15 days. The first stage reviews only the external attack surface of a domain you own. Databases, credentials, an agent and the internal network are not connected.
La red interna y las credenciales se conectan después de aceptar el acuerdo de tratamiento.The internal network and credentials are connected after you accept the processing agreement.
Arquitectura de seguridadSecurity architecture
Bralox se usa como servicio en la nube: el cliente no instala ni opera la infraestructura. Hay tres sitios oficiales: el del producto (bralox.com), la consola (app.bralox.com) y el de la sociedad (dsdynamics.co). La cuenta y los datos de operación viven en la consola. DATA & SECURITY DYNAMICS SAS opera el producto; Hostinger es el encargado de alojamiento.Bralox is used as a cloud service: the customer does not install or operate the infrastructure. There are three official sites: the product site (bralox.com), the console (app.bralox.com) and the company site (dsdynamics.co). The account and operational data live in the console. DATA & SECURITY DYNAMICS SAS operates the product; Hostinger is the hosting processor.
Protección y cifrado de informaciónInformation protection and encryption
El acceso al sitio del producto y a la consola se hace por HTTPS (TLS). Las contraseñas se guardan como hash, nunca en claro. Las credenciales para pruebas autenticadas solo entran si el cliente las carga. En reposo, los datos quedan en el entorno de alojamiento indicado más abajo, con acceso limitado al equipo que opera el servicio.Access to the product site and the console uses HTTPS (TLS). Passwords are stored as hashes, never in clear text. Credentials for authenticated tests enter only if the customer uploads them. At rest, data stays in the hosting environment stated below, with access limited to the team that operates the service.
Gestión de identidades y accesosIdentity and access management
Cada persona entra con su propio usuario. Compartir una cuenta no está permitido. El administrador invita al equipo por correo y asigna un rol: Administrator, Security Manager, SOC Analyst, ITSM Agent, Asset Manager, Auditor o End User. El MFA es un segundo factor opcional (app autenticadora o código de respaldo). A veces se pide un código por correo para verificar la cuenta o completar el acceso. Solo ves los datos de la organización que tengas activa.Each person signs in with their own user. Sharing an account is not allowed. The administrator invites the team by email and assigns a role: Administrator, Security Manager, SOC Analyst, ITSM Agent, Asset Manager, Auditor or End User. MFA is an optional second factor (authenticator app or backup code). An email code is sometimes required to verify the account or complete sign-in. You only see data from the organization you have active.
Aislamiento de clientesCustomer isolation
Los datos se aíslan por organización. Attack Surface, vulnerabilidades, riesgo y la gestión de servicios no se mezclan entre organizaciones. Puedes pertenecer a más de una; cada una es un espacio aparte. Si un compañero no tiene esa organización seleccionada y un rol asignado, la consola se ve vacía.Data is isolated by organization. Attack Surface, vulnerabilities, risk and service management are not mixed across organizations. You can belong to more than one; each is a separate space. If a colleague does not have that organization selected and a role assigned, the console looks empty.
Seguridad de infraestructuraInfrastructure security
El servicio se aloja en Hostinger, región United States - Boston. Hostinger es el único encargado de alojamiento. El sitio del producto se sirve por HTTPS, no lista directorios y aplica cabeceras de seguridad (entre ellas HSTS y una política de contenido). El cliente no administra el servidor.The service is hosted on Hostinger, United States - Boston region. Hostinger is the only hosting processor. The product site is served over HTTPS, does not list directories and applies security headers (including HSTS and a content security policy). The customer does not administer the server.
Gestión de vulnerabilidadesVulnerability management
Los hallazgos sobre tus sistemas salen solo de objetivos que te pertenezcan o para los que tengas autorización por escrito. Escanear sistemas de terceros sin permiso no está permitido. Sobre el propio producto, los reportes de seguridad se revisan, se priorizan y se corrigen; si el hallazgo afecta datos de clientes, el aviso sigue los plazos de incidentes.Findings about your systems come only from targets you own or for which you have written authorization. Scanning third-party systems without permission is not allowed. For the product itself, security reports are reviewed, prioritized and fixed; if a finding affects customer data, notice follows the incident timelines.
Continuidad y recuperaciónContinuity and recovery
El soporte de configuración es de lunes a viernes, de 08:00 a 18:00, hora de Bogotá. Una caída que afecta a todos los clientes se atiende 24/7 en support@bralox.com. Los datos se conservan mientras la cuenta está activa. Puedes pedir exportación o eliminación a legal@dsdynamics.co.Configuration support is Monday to Friday, 08:00 to 18:00, Bogotá time. An outage that affects all customers is handled 24/7 at support@bralox.com. Data is retained while the account is active. You can request export or deletion at legal@dsdynamics.co.
Gestión de incidentesIncident management
Si hay un incidente de seguridad, el aviso al cliente sigue estos plazos máximos. Un evento de datos personales también se puede escribir a legal@dsdynamics.co.If there is a security incident, customer notice follows these maximum times. A personal-data event can also be written to legal@dsdynamics.co.
| Tipo de incidenteIncident type | Plazo máximo de notificación al clienteMaximum time to notify the customer |
|---|---|
| Bajo: evento sin afectación comprobadaLow: event with no confirmed impact | No requiere notificación individualNo individual notice required |
| Medio: afectación parcial del servicio o riesgo potencialMedium: partial service impact or potential risk | 48 horas48 hours |
| Alto: acceso no autorizado, exposición o pérdida de informaciónHigh: unauthorized access, exposure or loss of information | 24 horas24 hours |
| Crítico: fuga de información, ransomware o compromiso de datos sensiblesCritical: data leak, ransomware or compromise of sensitive data | 12 horas12 hours |
Privacidad y cumplimiento normativoPrivacy and regulatory compliance
El tratamiento se rige por la Ley 1581 de 2012 y las normas que la complementan. La autoridad de vigilancia es la Superintendencia de Industria y Comercio. La ley aplicable es la de la República de Colombia y los tribunales de Bogotá. Hostinger, en United States - Boston, es el encargado de alojamiento. Conservamos los datos mientras la cuenta está activa.Processing is governed by Law 1581 of 2012 and complementary rules. The supervisory authority is the Superintendencia de Industria y Comercio. Governing law is that of the Republic of Colombia and the courts of Bogotá. Hostinger, in United States - Boston, is the hosting processor. We retain data while the account is active.
Términos y privacidad de la plataforma: Términos y Privacidad. Ficha de la sociedad: Empresa.Platform terms and privacy: Terms and Privacy. Company sheet: Company.
Contacto para reportar vulnerabilidadesContact to report vulnerabilities
Si encuentras una vulnerabilidad en Bralox, en bralox.com o en app.bralox.com, escríbela a support@bralox.com antes de publicarla. Incluye la URL, los pasos para reproducirla y el impacto. No uses el hallazgo para acceder a datos de otros clientes ni para escanear objetivos que no te pertenezcan.If you find a vulnerability in Bralox, on bralox.com or on app.bralox.com, write it to support@bralox.com before publishing it. Include the URL, the steps to reproduce it and the impact. Do not use the finding to access other customers' data or to scan targets that are not yours.