Hemos implementado un procedimiento formal en caso de incidentes de seguridad y formado a todos los empleados sobre nuestras políticas.

Cuando se detecta un incidente de seguridad, este es escalado a nuestro alias de emergencia y se notifica a los empleados quienes se organizan para atajar rápidamente el problema.

Tras solucionarse el incidente de seguridad, redactamos un análisis post mortem.

Examinamos el análisis en persona y lo distribuimos a todos los empleados. El análisis incluirá medidas que facilitarán la detección y prevención de un incidente similar en el futuro.

Sage HR informará inmediatamente a los clientes por escrito sobre las violaciones de las normas de seguridad de los servicios de Sage HR que afecten a sus datos tras su confirmación. El comunicado contendrá el tipo de violación y el estado de la investigación de Sage HR.

Tenemos implementado un proceso de automatización y lo utilizamos frecuentemente, lo cual nos permite introducir cambios de manera fiable y segura en nuestra aplicación en cuestión de minutos.

Normalmente implementamos código en producción una vez a la semana y tenemos plena confianza en nuestra capacidad para crear rápidamente un parche de seguridad si es necesario.

Todos nuestros servicios se ejecutan en la nube. Sage HR no tiene enrutadores, balanceadores de carga, servidores de DNS ni servidores físicos propios.

Todos los servicios y datos se alojan en las instalaciones de AWS en Irlanda y están protegidos por la seguridad de AWS, tal y como se describe en https://aws.amazon.com/security/.

Amazon no revela la ubicación exacta de sus centros de datos. De esta manera, Sage HR desarrolla sus servicios bajo la protección de los controles físicos y ambientales de seguridad ofrecidos por AWS. Para saber más sobre la infraestructura de seguridad de AWS, recomendamos consultar https://aws.amazon.com/security/.

Sage HR utiliza un sistema de copia de seguridad en los almacenes de datos que contienen información de los clientes. Las instantáneas creadas se cifran en reposo mediante un cifrado multifactor del lado del servidor con claves administradas por Amazon S3 (SSE-S3).

Todos los datos de los clientes se almacenan en la Unión Europea (UE).

Los datos de los clientes se albergan en almacenes de datos multi-tenant (varios usuarios). No tenemos almacenes de datos individuales para cada cliente, sin embargo, adoptamos controles estrictos de privacidad en nuestro código de aplicación diseñados para garantizar la privacidad de los datos y evitar el acceso por parte de un cliente a los datos de otro cliente (por ej., aislamiento lógico). Llevamos a cabo muchas pruebas de integración y comportamiento para garantizar que dichos controles de privacidad funcionen según lo esperado. Las pruebas se ejecutan cada vez que se actualiza el código base y, con tan solo no pasar una de ellas, el código nuevo no se enviará a producción.

Todos los sistemas de Sage HR utilizados para procesar los datos de los clientes han sido configurados y optimizados adecuadamente mediante métodos comercialmente razonables según los estándares reconocidos por la industria de refuerzo de la seguridad de sistemas.

Sage HR colabora con varios subprocesadores para procesar los datos de los clientes. Dichos subprocesadores se enumeran en la política de “Terceros” y están sujetos a posibles modificaciones periódicas por parte de Sage HR.

Hacemos una copia de seguridad de los datos de los clientes cada 24 horas. Además, guardamos copias de seguridad de 4 semanas y de 12 meses. Todas las copias de seguridad de más de 12 meses se borran automáticamente.

Nuestros datos de producción y copias de seguridad se cifran en reposo mediante el cifrado de bloques AES-256.

Cuando se elimina una cuenta de un cliente, almacenamos los datos en nuestras copias de seguridad durante 12 meses. Si es necesario borrar todos los datos, se ha de contactar con soporte.

Todos los datos enviados a Sage HR o desde Sage HR se cifran en tránsito mediante el cifrado de 256 bits.

Los puntos finales de nuestra API y aplicación están cifrados únicamente con TLS/SSL y tienen una calificación de “A” en las pruebas de SSL Labs. Esto significa que solo usamos sistemas seguros de cifrado.

Sage HR opera completamente en un servidor HTTPS.

No hay recursos empresariales ni privilegios adicionales por estar en la red de Sage HR.

Contamos con políticas de contraseñas difíciles de descifrar y autenticación de múltiples factores en GitHub, Google, AWS y Sage HR para garantizar un acceso seguro a los servicios de la nube.

Sage HR permite varios niveles de permisos que se pueden configurar para cualquier empleado con acceso a Sage HR.

Los permisos y el acceso pueden configurarse de manera que incluyan la configuración de la aplicación, la facturación o los datos de los usuarios.

Es obligatoria la autenticación en dos pasos (2FA) para todos los empleados de Sage HR que accedan al sistema de administración de Sage HR.

En cuanto a las aplicaciones, creamos registros de auditoría para todas las actividades.

Todos los accesos a las aplicaciones de Sage HR se registran y auditan.

Todas las acciones realizadas en las aplicaciones de Sage HR se registran.

Sage HR cumple con el estándar ISO 27001 en conformidad con el organismo normativo de Reino Unido, BSI (certificado IS 692128).

Colaboramos anualmente con prestigiosos auditores externos para la auditoría de nuestro código base y trabajamos con ellos en la resolución de problemas potenciales.

Para encontrar información sobre las certificaciones de seguridad de AWS y obtener copias de los informes de seguridad de AWS, recomendamos consultar http://aws.amazon.com/compliance/pci-data-privacy-protection-hipaa-soc-fedramp-faqs/

Nuestros datos se almacenan en un centro de datos que cumple con los últimos estándares y requisitos como ISO27001, SOC 1 y SOC 2/SSAE, entre otros. Para saber más: https://aws.amazon.com/security/

Está programada una auditoría SOC2 de Sage HR para el año 2021.

Gestionar las cuentas de usuario y los roles desde los servicios de Sage HR.

Proteger la propia cuenta y las credenciales de usuario mediante contraseñas largas o habilitando el inicio de sesión único (SSO) para todos los empleados que acceden a los servicios de Sage HR.

Cumplir las condiciones del acuerdo de los servicios con Sage HR, incluidas las relacionadas con el cumplimento de las leyes.

Comunicar inmediatamente a Sage HR si las credenciales de un usuario corren peligro o se percata de posibles actividades sospechosas que podrían afectar la seguridad de los servicios de Sage HR o su cuenta.

No podrá llevar a cabo pruebas de penetración de seguridad ni tareas de evaluación de la seguridad sin el consentimiento expreso, por escrito y con antelación de Sage HR.