Seguridad, datos y acuerdos

La versión breve

Un puesto realiza una tarea interna por escrito mediante cuentas aprobadas que puedes revocar. Nunca contacta a clientes ni mueve dinero, aunque alguien lo autorice. Otras acciones restringidas requieren revisión; la aprobación no amplía el alcance firmado.

Puestario no tiene certificación ISO 27001 ni un informe SOC 2. Proporcionamos el alcance, las reglas de acceso y las plantillas de acuerdos para apoyar tu evaluación de proveedores. Tu empresa decide qué verificaciones adicionales necesita.

Lo que el puesto nunca puede hacer

• Hablar con tus clientes. Es solo interno. Puede escribir un borrador; una persona lo envía.
• Mover dinero. Puede leer un registro de pago. No puede pagar, cobrar ni reembolsar a nadie.
• Cambiar accesos o permisos. Le lleva el cambio exacto al dueño y espera.
• Borrar o firmar algo por su cuenta.
• Trabajar fuera de la única tarea escrita en la Ficha de trabajo.

Esto está configurado en el software, no solo escrito aquí. La Ficha de trabajo nombra la tarea, los sistemas que puede tocar y la lista de cosas que nunca puede hacer, y tú la firmas antes de que se instale nada.

Las cuentas de tu software empresarial

• Una cuenta de servicio con nombre propio para el puesto. Nunca el usuario de una persona, y nunca una cuenta compartida.
• Solo lectura siempre que la tarea lo permita.
• Limitada a los sistemas escritos en la Ficha de trabajo, y a nada más.
• Creada por ti, tuya, y la puedes revocar en segundos sin llamarnos.

Si tus sistemas usan inicio de sesión único, la cuenta del puesto vive ahí dentro como cualquier otra, así que desactivarla es la misma acción que ya haces cuando alguien sale de la empresa.

Dónde está el equipo

El puesto es un equipo dedicado en tu oficina, en tus instalaciones, bajo tu control físico. No es un servidor que operamos en otro lado, y no involucra la computadora personal de nadie. Si lo desconectas, se detiene.

Como es un equipo aparte, queda fuera de tu inicio de sesión único. Lo tratamos como algo que hay que controlar, no como algo que hay que disimular. Las cuentas que usa dentro de cada uno de tus sistemas siguen siendo tuyas y se revocan ahí, que es donde está la puerta de verdad.

Quién en Puestario puede acceder

• Solo personas con nombre. El acceso es por individuo identificado, nunca con un usuario compartido.
• El acceso remoto está apagado por defecto y se enciende por sesión, no se deja prendido.
• Cada sesión queda registrada, y puedes pedir ese registro cuando quieras.
• Puedes revocar nuestro acceso tú mismo, en cualquier momento, sin aviso y sin dar explicaciones.
• Cuando alguien entra o sale de Puestario, te avisamos, y su acceso se elimina ese mismo día.

Hoy Puestario son dos personas. Lo dejamos por escrito ahora, mientras somos dos, para que siga valiendo cuando seamos cinco.

A dónde va tu información

La tarea se ejecuta en un equipo dedicado, pero el servicio no es completamente local. La información aprobada puede pasar por el proveedor de IA, el software conectado, los servicios de mensajes y las copias de seguridad o herramientas de soporte acordadas. Antes de instalar, el plan escrito debe identificar cada servicio, los datos que recibe, los accesos y la retención.

Usamos los datos de la tarea para prestar el servicio acordado. El anexo de datos identifica los archivos de trabajo, registros, copias de seguridad y accesos de soporte, su propósito y su retención.

Nada de tu empresa aparece en nuestro tablero público en vivo. Ese tablero muestra los puestos propios de Puestario y nunca mostrará otra cosa.

El proveedor de IA

Las nuevas instalaciones administradas usan la configuración de la API de OpenAI aprobada para Puestario, con ZDR habilitado para el uso que cumple los requisitos y un BAA firmado para los servicios de API cubiertos. La configuración escrita identifica el proveedor, las funciones y el tratamiento de los datos. Las instalaciones existentes mantienen su configuración documentada hasta que se acuerde una migración.

Eres dueño de las cuentas de tu software y las controlas. Puestario administra la cuenta de API de OpenAI para este servicio; no se transfiere al finalizar. Documentamos el uso permitido de la API y los límites de acceso antes de instalar.

Lo que estamos dispuestos a firmar

• Un acuerdo de confidencialidad. Siempre, y lo ofrecemos nosotros en lugar de esperar a que nos lo pidan.
• Un alcance por escrito, que es la Ficha de trabajo, con la tarea, los sistemas y la lista de lo prohibido.
• Tu propio contrato de proveedores, si tienes uno. Preferimos firmar el tuyo antes que defender el nuestro.
• Un anexo de tratamiento de datos y acceso que cubre alcance, datos excluidos, cuentas identificadas, reglas de acceso, proveedores aprobados, aviso de incidentes en setenta y dos horas y tu derecho a revisar.

Las plantillas de confidencialidad y tratamiento de datos están abajo. Preparamos contigo el acuerdo de servicio después de la llamada inicial.

Clientes que compiten entre sí

Trabajamos en una zona pequeña y en pocas industrias, así que dos de nuestros clientes bien pueden ser competencia. Es una pregunta justa.

• Los archivos y el contexto de un puesto nunca los lee otro puesto. Cada puesto es un equipo aparte con cuentas aparte.
• No reutilizamos los documentos, precios, clientes ni procesos de un cliente como ejemplo en ningún lado, ni siquiera en una conversación de venta.
• Si quieres por escrito que no instalaremos para un competidor específico, pídelo y queda en el contrato.

Si tu empresa está certificada

Si tienes ISO 27001 o SOC 2, eres tú quien tiene que justificar un proveedor nuevo ante un auditor. Esto es lo que te podemos entregar:

• Un alcance por escrito con los sistemas exactos y los datos exactos que toca el puesto
• Una cuenta de servicio con nombre propio, de solo lectura siempre que la tarea lo permita
• La lista de proveedores y servicios de tu instalación, con los documentos de respaldo disponibles
• Un alcance escrito con responsabilidades y fechas de servicio claras
• Respuestas por escrito a tu cuestionario de proveedores

Con un cliente certificado no usamos automatización de navegador con credenciales humanas guardadas. Si uno de tus sistemas no tiene API, te lo decimos y no construimos ese puente.

Proporcionamos el alcance acordado, las reglas de acceso y los documentos de respaldo para tu evaluación de proveedores. Nuestros acuerdos con proveedores y nuestra membresía no certifican a Puestario.

Cuando se termina

Cuando el servicio termina según el acuerdo firmado:

• Tú revocas las cuentas. No nos necesitas para hacerlo.
• Los archivos, habilidades, configuración y trabajo acordados siguen siendo tuyos. La propiedad del equipo, la documentación y las responsabilidades de entrega se registran en tu acuerdo.
• Nuestro acceso termina el día que tú digas.

Cómo avisarnos de un problema

Reporta una preocupación de seguridad por teléfono o correo con los datos de contacto de abajo. No incluyas registros privados, información de pacientes ni contraseñas en el formulario. Respondemos el mismo día hábil. Si conocemos un incidente que afecta tu equipo o datos, te notificamos por escrito dentro de setenta y dos horas con la información disponible.

1. Acuerdo mutuo de confidencialidad

Se firma primero, antes del diagnóstico, antes de ver nada. Lo ofrecemos nosotros; no tienes que pedirlo.

Este Acuerdo mutuo de confidencialidad se celebra entre PUESTARIO LLC, una sociedad de responsabilidad limitada de Florida con domicilio principal en [DIRECCIÓN] (Puestario), y [RAZÓN SOCIAL DEL CLIENTE], con domicilio principal en [DIRECCIÓN DEL CLIENTE] (la Empresa), con vigencia desde el [FECHA].

1. Qué es confidencial

Información confidencial es todo lo que una parte comparte con la otra y que una persona razonable trataría como privado: listas de clientes, precios, márgenes, proveedores, procesos, registros financieros, información del personal, credenciales de sistemas y el contenido de cualquier sistema al que esté conectado un puesto. Incluye la información compartida antes de la firma de este acuerdo. Para la Empresa incluye también el hecho de que se esté evaluando o instalando un puesto, si la Empresa pide que se mantenga en privado.

2. Qué no es confidencial

• La información que ya es pública sin culpa de la parte que la recibe.
• La información que la parte receptora ya tenía, y puede demostrar que tenía, antes de que se compartiera.
• La información que un tercero entregó a la parte receptora con derecho a hacerlo.
• La información que la parte receptora desarrolló por su cuenta sin usar la información de la otra parte.

3. Qué promete cada parte

• Usar la Información confidencial de la otra parte solo para evaluar, construir, instalar y operar el puesto, y para nada más.
• Compartirla solo con su propio personal que la necesite para ese fin y que esté sujeto a obligaciones al menos igual de estrictas.
• Protegerla al menos con el cuidado que usa para su propia información privada, y nunca con menos que un cuidado razonable.
• Avisar a la otra parte con prontitud, y en todo caso dentro de setenta y dos horas, si se entera de que la información fue accedida o divulgada de una forma que este acuerdo no permite.
• No aplicar ingeniería inversa, copiar ni reutilizar la información de la otra parte como ejemplo, demostración, plantilla o material de venta, en ninguna forma, para nadie.

4. Clientes que compiten entre sí

Puestario trabaja en una zona pequeña y en pocas industrias, y la Empresa puede competir con otro cliente de Puestario. Puestario promete que ninguna Información confidencial de la Empresa se coloca, se lee ni se pone a disposición de un puesto de otra persona, y que nada del negocio de la Empresa se usa para orientar trabajo para un competidor. Cada puesto es un equipo aparte con cuentas aparte. Si la Empresa quiere que Puestario se comprometa a no instalar para un competidor específico, eso se agrega al Acuerdo de servicio.

5. Si la ley exige la divulgación

Si un tribunal o una agencia del gobierno exige a cualquiera de las partes divulgar Información confidencial, esa parte, cuando la ley lo permita, avisará primero a la otra para que pueda objetar, y divulgará solo lo que se exija.

6. Devolución

Cuando termine la relación, o antes si se solicita, cada parte devuelve o destruye la Información confidencial de la otra y confirma por escrito que lo hizo. Las copias de respaldo ordinarias que no puedan purgarse en la práctica siguen protegidas por este acuerdo hasta que expiren.

7. Cuánto dura

Estas obligaciones duran cinco años después de que termine la relación. Para credenciales de sistemas, información personal y todo lo que la ley proteja por más tiempo, duran lo que la ley exija.

8. Lo demás

Este acuerdo se rige por las leyes del Estado de Florida, y cualquier disputa se resuelve en los tribunales del condado de Miami-Dade. Cualquiera de las partes puede solicitar una orden judicial para detener un incumplimiento, porque el dinero por sí solo puede no repararlo. Este acuerdo no obliga a ninguna de las partes a hacer negocios con la otra, y no otorga a ninguna derechos sobre la información de la otra más allá de lo escrito aquí. Solo puede modificarse por escrito con la firma de ambas partes.

Firma por Puestario: [NOMBRE, CARGO, FECHA]. Firma por la Empresa: [NOMBRE, CARGO, FECHA].

2. Anexo de tratamiento de datos y acceso (Anexo B)

Escrito para la persona que tiene que aprobar un proveedor nuevo. Es la página de seguridad convertida en promesa.

Este adendo forma parte del Acuerdo de servicio del puesto entre PUESTARIO LLC (Puestario) y [RAZÓN SOCIAL DEL CLIENTE] (la Empresa). Describe qué datos toca el puesto, cómo se otorga y se controla el acceso, quién procesa qué y qué ocurre cuando algo sale mal. Cuando la Empresa esté sujeta a una ley o norma que exija un contrato por escrito con sus proveedores de servicios, este adendo está pensado para ser ese contrato.

1. Alcance de los datos

El puesto toca solo los sistemas y los datos nombrados en la Ficha de trabajo, y solo para la tarea nombrada allí. La Ficha de trabajo enumera cada sistema, si el acceso del puesto es de solo lectura o de escritura, y en qué campos puede escribir. Todo lo que no esté en la Ficha de trabajo está fuera del alcance, y Puestario no construye acceso a ello.

2. Datos que el puesto está construido para evitar

• Números completos de tarjetas de pago y códigos de seguridad de tarjetas. Si un sistema los contiene, el puesto se limita a campos que no los tienen, para que el puesto quede fuera del entorno de datos de tarjetas de la Empresa.
• Números de Seguro Social, números de cuentas bancarias y números de identificación gubernamental, salvo que la Ficha de trabajo los nombre explícitamente y el responsable de cumplimiento de la Empresa lo haya aprobado por escrito.
• Información de salud de cualquier tipo, salvo que un acuerdo por escrito aparte la cubra.
• Todo lo que la Empresa marque como excluido en la Ficha de trabajo.

3. Cuentas y acceso

• La Empresa crea una cuenta de servicio con nombre propio para el puesto en cada sistema de la Ficha de trabajo. El puesto nunca usa el acceso de una persona, y nunca uno compartido.
• Cada cuenta es de solo lectura siempre que la tarea lo permita, y está limitada a los sistemas y campos de la Ficha de trabajo.
• La Empresa es dueña de sus cuentas de software y puede revocarlas en cualquier momento sin avisar a Puestario. Puestario explica este proceso al instalar. La cuenta de API administrada por Puestario es independiente y sigue la sección 4 del Acuerdo de Servicio.
• Cuando la Empresa usa inicio de sesión único, las cuentas del puesto viven dentro de él y se desactivan igual que las de cualquier empleado que sale.
• Para una Empresa con certificación de seguridad, Puestario no usa automatización de navegador con credenciales humanas guardadas. Si un sistema de la Ficha de trabajo no tiene API, Puestario lo dice y no construye ese puente.

4. Dónde ocurre el trabajo

El puesto es un equipo dedicado en las instalaciones de la Empresa en Florida, bajo su control físico. Los sistemas de la Empresa siguen siendo la fuente de referencia; el equipo guarda los archivos y registros de trabajo acordados. El procesamiento externo aprobado se documenta en la sección 6. Puestario no conserva datos de negocio de la Empresa para uso propio ni traslada sus registros fuera de Estados Unidos. Las partes deben verificar que los servicios y las configuraciones elegidos cumplan este compromiso de ubicación antes de conectarlos; un equipo en la oficina por sí solo no determina la residencia de los datos. El acceso de soporte sigue la sección 5.

5. El acceso de Puestario al equipo

• El acceso es solo por persona identificada. Puestario mantiene una lista de las personas que pueden acceder al puesto de la Empresa, se la entrega a la Empresa y la actualiza antes de cualquier cambio.
• El acceso remoto está apagado por defecto. Se enciende para una sesión específica, por un motivo declarado, y se apaga al terminar la sesión. Nunca se deja encendido.
• Cada sesión queda registrada: fecha, persona, motivo, duración. La Empresa puede pedir el registro en cualquier momento y lo recibe dentro de cinco días hábiles.
• La Empresa puede revocar el acceso de Puestario en cualquier momento, sin aviso y sin dar motivo, y se le muestra cómo en la instalación.
• Cuando una persona entra o sale de Puestario, se avisa a la Empresa por escrito y el acceso de esa persona se elimina el mismo día.
• El personal de Puestario está sujeto a obligaciones de confidencialidad por escrito al menos tan estrictas como el NDA, y ha pasado al menos una verificación de antecedentes antes de recibir acceso a cualquier puesto de cliente.

6. Proveedor de IA y servicios conectados

Las nuevas instalaciones administradas usan la configuración de la API de OpenAI aprobada para Puestario. Antes de dar acceso, la configuración escrita debe enumerar cada proveedor, función habilitada y servicio conectado, los datos compartidos, el propósito, los accesos, la retención y las restricciones de ubicación. La cobertura de ZDR y del BAA debe verificarse por separado para los servicios utilizados. Estos acuerdos no cubren todas las funciones ni todos los servicios de terceros. La información médica protegida requiere un alcance separado y los acuerdos necesarios antes de procesarla. Las instalaciones existentes mantienen su proveedor documentado hasta acordar una migración. Puestario no cambiará el proveedor aprobado sin aviso escrito de treinta días; la Empresa puede terminar sin penalización si se opone. Los servicios adicionales requieren acuerdo escrito antes de compartir datos.

7. Medidas de seguridad que mantiene Puestario

• Cifrado de disco completo en el equipo del puesto, con la clave guardada en el enclave seguro del equipo.
• Autenticación de múltiples factores en cada cuenta de Puestario que pueda acceder a un puesto de cliente.
• Actualizaciones de seguridad automáticas en el sistema operativo del equipo.
• Credenciales guardadas en el llavero del equipo, nunca en un archivo plano, un script, un mensaje ni un documento.
• Ninguna credencial de cliente guardada en los equipos o cuentas propios de Puestario.
• Un proceso escrito de altas y bajas de personal, aplicado el mismo día.
• Una revisión del acceso del puesto cada noventa días, con la Empresa, como parte de la revisión programada.

8. Si algo sale mal

Si Puestario se entera de que los datos de la Empresa fueron accedidos, divulgados, alterados o perdidos de una forma que la Ficha de trabajo no permite, o de que el puesto o el acceso de Puestario a él fue comprometido, Puestario avisa a la Empresa dentro de setenta y dos horas desde que lo sabe, por escrito, con lo que se conozca hasta ese momento. Luego Puestario coopera plenamente con la investigación de la Empresa y con cualquier aviso que la Empresa deba dar según la Ley de Protección de la Información de Florida o cualquier otra ley, y no notifica a nadie más en nombre de la Empresa sin instrucción de la Empresa, salvo que la ley obligue a Puestario a hacerlo.

9. El derecho de la Empresa a verificar

Una vez al año, o después de un incidente, la Empresa puede pedir a Puestario que responda un cuestionario de seguridad por escrito, entregue el registro de acceso al puesto de la Empresa y recorra la configuración del puesto en sitio. Puestario responde dentro de quince días hábiles. Si el regulador, auditor o entidad certificadora de la Empresa exige más, las partes acuerdan el alcance por escrito primero.

10. Términos específicos por industria

• Firmas contables y de impuestos sujetas a la Regla de Salvaguardas de la FTC: este adendo está pensado para servir como el contrato por escrito con un proveedor de servicios que exige la Regla, y Puestario cooperará con la Persona Calificada de la Empresa y con su programa escrito de seguridad de la información.
• Agentes de aduana con licencia sujetos a 19 CFR Parte 111: la firma de la Empresa en este adendo es su autorización por escrito para que Puestario acceda a los registros de clientes nombrados en la Ficha de trabajo, y Puestario mantiene esos registros dentro de Estados Unidos y los trata como confidenciales conforme a las obligaciones de la Empresa.
• Cualquier Empresa con ISO 27001 o SOC 2: Puestario entrega el alcance por escrito, las cuentas con nombre propio, la lista de subprocesadores, las fechas de inicio y fin del servicio y respuestas por escrito al cuestionario, para que la Empresa pueda incluir a Puestario en su registro de proveedores con la evidencia que espera su auditor.

11. Devolución y eliminación

Al terminar el acuerdo, la Empresa revoca las cuentas del puesto. Si el equipo sigue siendo de Puestario, lo recoge dentro de diez días hábiles y borra sus datos de forma segura, en presencia de la Empresa si esta lo desea, y lo confirma por escrito. Un equipo del cliente permanece con la Empresa; se retira el acceso administrado sin borrar su trabajo. Antes del borrado, la Empresa recibe una copia de las carpetas de contexto, reglas y registros de trabajo en un formato estándar.

12. Puestario no está certificada

Puestario no tiene ISO 27001, SOC 2 ni ninguna otra certificación y no afirma tenerlas. Las promesas de este adendo son propias de Puestario, hechas por una empresa pequeña que mantiene su alcance pequeño a propósito. Son exigibles tal como están escritas.

Firma por Puestario: [NOMBRE, CARGO, FECHA]. Firma por la Empresa: [NOMBRE, CARGO, FECHA].