Política de Seguridad
Cómo protegemos la plataforma Fluye y la información de nuestros clientes.
1. Nuestro compromiso y a qué aplica
Fluye mueve cotizaciones, facturas, cobros y pagos entre empresas, y conecta ese historial con aseguradoras y bancos. Esa información es el activo más sensible de nuestros clientes, y protegerla es condición para que el servicio exista. Esta política describe cómo lo hacemos, en lenguaje directo y sin promesas que no podamos sostener.
Aplica a toda la plataforma Fluye: el sitio web (usefluye.com), las aplicaciones para empresas vendedoras, compradoras y de operación, las integraciones con aliados y la infraestructura que las soporta. La plataforma es la misma en todos los países donde operamos, por lo que esta política es única y vale para Venezuela, Qatar y cualquier mercado futuro. Lo que cambia por país es ante quién notificamos un incidente, y eso está en los anexos por país de la Política de Privacidad.
La seguridad de Fluye la administra el equipo de ingeniería de myservy, con una persona responsable designada que reporta a la dirección. La operación en cada país (Sbcompanies C.A., RIF J-508489772, en Venezuela; myservy LLC, QFC No. 05314, en Qatar) se rige por esta misma política.
2. Infraestructura y proveedores
Toda la infraestructura de Fluye corre en Microsoft Azure: aplicaciones, bases de datos, almacenamiento de archivos, respaldos, correo transaccional, registros y monitoreo. No operamos servidores propios ni repartimos la plataforma entre varios proveedores de nube.
Azure cuenta con certificaciones de seguridad reconocidas internacionalmente (ISO/IEC 27001, ISO/IEC 27018, SOC 1, SOC 2 y SOC 3, entre otras) y con controles físicos, de red y de personal en sus centros de datos. Fluye usa los servicios gestionados de Azure para cifrado, gestión de identidades, claves y secretos, y copias de respaldo, de modo que las medidas descritas en esta política se apoyan en esa plataforma.
Fuera de Azure, solo intervienen los proveedores de pago, verificación y screening descritos en la sección 6, cada uno para su función y obligado por contrato. Los proveedores de pago manejan directamente los datos de tarjetas; Fluye nunca los almacena. Actualizamos esta sección si cambia la plataforma de infraestructura.
3. Cómo protegemos los datos
Cifrado. Toda la comunicación entre tu navegador o aplicación y Fluye, y entre Fluye y sus aliados, viaja cifrada con TLS 1.2 o superior. Los datos almacenados en bases de datos, archivos y respaldos están cifrados en reposo con estándares de la industria (AES-256 o equivalente). Las claves de cifrado se gestionan en servicios dedicados, con rotación periódica y acceso restringido.
Separación entre clientes. Los datos de cada empresa están lógicamente separados. Una empresa solo puede ver sus propias operaciones y lo que sus contrapartes le comparten en una transacción concreta. Ningún cliente puede acceder al historial o al score de otro.
Respaldos. Hacemos copias de respaldo automáticas y cifradas con frecuencia diaria como mínimo, almacenadas en una ubicación distinta a la de producción. Probamos la restauración de forma periódica. Los respaldos se conservan por el tiempo necesario para recuperar el servicio y cumplir los plazos legales de conservación.
Minimización. Recogemos y guardamos solo los datos que necesitamos. Los datos que dejan de ser necesarios se eliminan o anonimizan según la Política de Privacidad.
Secretos y credenciales. Las credenciales de sistemas, llaves de API e integraciones con bancos y aliados se guardan en gestores de secretos, nunca en código ni en documentos compartidos, y se rotan cuando cambia el personal con acceso o ante cualquier sospecha.
4. Acceso e identidad
Tu cuenta. El acceso a Fluye requiere usuario y contraseña con requisitos mínimos de complejidad, y ofrecemos autenticación de dos factores, obligatoria para los usuarios que aprueban pagos o administran la cuenta. Las sesiones expiran por inactividad y puedes cerrar todas las sesiones activas desde la plataforma.
Roles y permisos. Cada empresa define quién puede ver, crear, aprobar o cobrar. Los permisos se asignan por rol (administrador, ventas, cobranza, operaciones, solo lectura) y cada acción relevante queda registrada con usuario, fecha y origen.
Acceso del equipo de Fluye. Nuestro personal accede a los sistemas de producción solo cuando su función lo requiere, con cuentas nominales, autenticación de dos factores y permisos mínimos. El acceso a datos de clientes para soporte requiere un motivo registrado y queda auditado. Revisamos los accesos al menos cada trimestre y los retiramos el mismo día en que una persona deja el equipo o cambia de función.
Confidencialidad. Todo el equipo y los contratistas con acceso a datos firman acuerdos de confidencialidad y reciben formación en seguridad al incorporarse y de forma periódica.
5. Desarrollo seguro y operación
- Control de cambios. Todo cambio al código pasa por revisión de otra persona y pruebas automáticas antes de llegar a producción. Los entornos de desarrollo, pruebas y producción están separados y los datos reales de clientes no se usan en pruebas.
- Dependencias. Monitoreamos las vulnerabilidades conocidas de las librerías que usamos y aplicamos parches críticos en plazos cortos.
- Registros y monitoreo. Registramos accesos, errores y eventos de seguridad de forma centralizada, con alertas sobre comportamientos anómalos (intentos de acceso fallidos repetidos, accesos desde ubicaciones inusuales, volúmenes de operación atípicos).
- Pruebas de seguridad. Realizamos revisiones de seguridad de forma continua y evaluamos la plataforma ante cambios mayores de arquitectura. Corregimos los hallazgos según su severidad.
- Disponibilidad. La plataforma está diseñada para tolerar fallos de componentes individuales, con redundancia en los servicios críticos y un plan de continuidad que probamos periódicamente. Publicamos el estado del servicio y avisamos con antelación los mantenimientos programados.
6. Integraciones con bancos, aseguradoras y proveedores
Fluye intercambia información con aliados para procesar pagos, habilitar cobertura y financiamiento y verificar identidades. Cada integración cumple estas reglas:
| Regla | Qué significa |
|---|---|
| Canal cifrado y autenticado | Conexiones TLS con autenticación mutua o llaves de API firmadas; sin intercambios por correo ni archivos manuales |
| Mínimo necesario | Cada aliado recibe solo los campos definidos en el convenio para su función; nada más |
| Trazabilidad | Cada envío y recepción queda registrado: qué se compartió, con quién, cuándo y por qué operación |
| Convenio de seguridad | Cada aliado se obliga por contrato a proteger los datos, a usarlos solo para la finalidad acordada y a avisar incidentes |
| Revisión | Evaluamos la seguridad de cada aliado antes de integrarlo y la revisamos cuando cambia la integración |
Las operaciones de pago y dispersión de fondos las ejecuta el banco aliado en sus propios sistemas. Fluye instruye y concilia, pero no custodia fondos ni almacena credenciales bancarias de los clientes.
7. Gestión de incidentes
Un incidente de seguridad es cualquier evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de los datos o del servicio. Tenemos un procedimiento documentado que seguimos en cuatro pasos:
- Detección y contención. Alertas automáticas y reportes del equipo o de clientes activan la respuesta. Primero aislamos el problema para que no se extienda.
- Evaluación. Determinamos qué datos y qué clientes están afectados, la causa y el riesgo para las personas.
- Notificación. Si el incidente afecta datos personales o puede causar un daño a nuestros clientes o a sus contrapartes, les avisamos sin demora indebida, con una descripción clara de lo ocurrido, los datos involucrados y las medidas que recomendamos. Notificamos además a la autoridad que corresponda según el país, en los plazos que fije la ley (en Qatar, a la NCSA). Informamos también a los aliados cuya integración esté involucrada.
- Corrección y aprendizaje. Resolvemos la causa raíz, documentamos el incidente y ajustamos controles para que no se repita.
No ocultamos incidentes ni minimizamos su alcance. Si tu empresa resulta afectada, tendrás la información necesaria para tomar tus propias medidas.
8. Tu parte como cliente
La seguridad de tu cuenta depende también de cómo la usas. Te pedimos:
- Activar la autenticación de dos factores para todos los usuarios de tu empresa, no solo los que aprueban pagos.
- Dar a cada persona su propio usuario, con el rol mínimo que necesita, y retirar el acceso el día que deja la empresa.
- No compartir contraseñas ni enlaces de sesión, y usar contraseñas distintas a las de otros servicios.
- Verificar siempre los datos de cuenta bancaria de tus contrapartes por un canal independiente antes de cambiarlos en Fluye. El fraude por cambio de cuenta es el más común en cobros y pagos entre empresas.
- Avisarnos de inmediato si sospechas un acceso no autorizado, un correo que suplanta a Fluye o un enlace de cobro que no reconoces.
Fluye nunca te pedirá tu contraseña por correo, teléfono ni mensajería, ni te enviará enlaces para "confirmar" tu cuenta fuera de la plataforma.
9. Reporte de vulnerabilidades, cambios y contacto
Si encuentras una vulnerabilidad en Fluye, escríbenos a security@usefluye.com con los detalles para reproducirla. Nos comprometemos a confirmar la recepción en 3 días hábiles, a mantenerte informado del avance y a no emprender acciones legales contra quien reporte de buena fe, sin explotar la falla ni acceder a datos de terceros.
Revisamos esta política al menos una vez al año y cada vez que cambie de forma relevante nuestra infraestructura, nuestros proveedores o la ley. Publicamos la versión vigente en el sitio con su fecha.
Contacto de seguridad: security@usefluye.com. Última actualización: 2 de noviembre de 2026.