Centro de confianza
Tus clientes confían en ti. Así puedes confiar en nosotros.
SeatReaper lee las herramientas que usas para gestionar a tus clientes. Esta página explica con claridad a qué puede acceder, cómo se protege ese acceso y qué controlas tú. Los revisores de seguridad encontrarán al final las respuestas a las preguntas habituales de los cuestionarios.
Solo lectura por defecto
Cada sincronización usa acceso de solo lectura. SeatReaper solo cambia algo cuando un propietario activa las retiradas (Growth y superiores) y un miembro de tu equipo confirma cada cambio. Cada cambio queda registrado.
Datos almacenados en Canadá
La base de datos y la autenticación funcionan en Montreal (AWS ca-central-1); la aplicación también funciona en Montreal.
Aislamiento en la base de datos
La seguridad a nivel de fila en cada tabla hace que un espacio solo pueda leer sus propios datos.
Un inicio de sesión que controlas
Los propietarios pueden exigir la verificación en dos pasos y el inicio de sesión de Microsoft a todo el equipo, aplicados por la base de datos.
Registro de auditoría de solo anexado
Cada cambio, incluida cada acción del personal de SeatReaper, queda registrado y no se puede editar.
Soporte solo con tu permiso
El personal de SeatReaper solo ve un espacio en modo lectura, durante el tiempo que concede un propietario, y cada vista queda registrada.
Cómo se protegen tus datos
Cifrado
- Todo el tráfico usa TLS, con HTTP Strict Transport Security.
- Nuestro proveedor de base de datos cifra los datos en reposo.
- Las claves de API y contraseñas que das a SeatReaper para tus herramientas también se cifran con AES-256-GCM, con una clave guardada fuera de la base de datos, y cada una está vinculada a su espacio para que no se pueda leer en ningún otro.
- Las credenciales no se vuelven a mostrar después de guardarlas.
Aislamiento y acceso
- Cada tabla está protegida por seguridad a nivel de fila en la propia base de datos, no solo en la aplicación.
- La base de datos comprueba cada escritura: las reglas de seguridad a nivel de fila y funciones verificadas deciden quién puede cambiar qué.
- Los roles (propietario, técnico, lector) limitan lo que puede hacer cada persona; solo los propietarios conectan herramientas, gestionan la facturación o leen el registro de auditoría.
- Los propietarios pueden limitar a un técnico o lector a determinados clientes, con las mismas reglas aplicadas por la base de datos.
- Las cuentas del personal de SeatReaper requieren verificación en dos pasos, solo se pueden conceder fuera de la aplicación y se pueden desactivar con un único ajuste.
Supervisión y responsabilidad
- Un registro de auditoría de solo anexado guarda quién cambió qué, con los valores antiguos y nuevos, incluida cada acción del personal y su motivo por escrito.
- Los propietarios reciben alertas de seguridad por correo cuando alguien se une, cambia un rol, se quita la verificación en dos pasos, cambian credenciales o el soporte abre el espacio.
- Los propietarios pueden exportar el registro de auditoría en CSV o transmitirlo en tiempo real, firmado, a su propio SIEM.
Seguridad de la aplicación
- Una política de seguridad de contenido que solo permite scripts servidos por el propio SeatReaper (incluidos sus scripts en línea), sin scripts de terceros ni rastreadores de publicidad o analítica.
- Cada cambio pasa por una solicitud de incorporación con comprobaciones automáticas, incluidas pruebas de las reglas de acceso de la base de datos, antes de llegar a producción.
- Los enlaces de webhooks y correos están firmados, y los envíos salientes rechazan direcciones de red privada.
Dónde están los datos y quién los trata
Los datos de tu espacio y de inicio de sesión se almacenan en Canadá (Montreal). Una breve lista de proveedores nos ayuda a prestar el servicio: Supabase (base de datos e inicio de sesión), Vercel (alojamiento), Stripe (facturación), Resend (correo) y Anthropic (el asistente de IA de la aplicación, que solo ve las preguntas que se escriben, nunca los datos del espacio). Avisamos a los propietarios al menos 30 días antes de añadir uno.
Si algo sale mal
Contenemos, investigamos e informamos a los propietarios afectados sin demora indebida, y en un plazo de 72 horas desde que confirmamos un incidente que afecta a sus datos, con lo ocurrido y qué hacer. Para informar de un problema de seguridad, escribe a support@seatreaper.com o lee nuestra política de divulgación de vulnerabilidades.
Lo que controlas
Quién inicia sesión y cómo
Exige la verificación en dos pasos y el inicio de sesión de Microsoft; da a cada persona el rol mínimo que necesita y solo los clientes con los que trabaja.
Qué está conectado
Conecta solo las herramientas que elijas. Desconectar una elimina todo lo sincronizado desde ella.
Quién en SeatReaper puede mirar
Nadie, salvo que un propietario conceda acceso de solo lectura y por tiempo limitado. Retíralo cuando quieras.
A dónde van tus registros
Recibe alertas de seguridad por correo, exporta el registro de auditoría o transmítelo a tu SIEM.
Documentos
Respuestas para cuestionarios de seguridad
Las preguntas que más hacen los MSP y sus clientes. Para cualquier otra, escribe a support@seatreaper.com.
- ¿Dónde se alojan nuestros datos?
- En Canadá: la base de datos y la autenticación en Montreal (AWS ca-central-1), y la aplicación en Montreal.
- ¿Puede SeatReaper cambiar algo en nuestros inquilinos o en los de nuestros clientes?
- No, a menos que lo permitas. Las sincronizaciones son de solo lectura. Desde Growth, un propietario puede activar las eliminaciones: entonces propietarios y técnicos pueden bloquear inicios de sesión, quitar licencias de Microsoft 365 y reducir cantidades de Pax8, cada cambio confirmado y registrado en el registro de auditoría. Los cambios en Microsoft 365 además necesitan una aplicación aparte que aprueba el administrador de cada cliente.
- ¿Qué puede leer en Microsoft 365?
- Usuarios, si pueden iniciar sesión, fechas del último inicio de sesión, si cada persona se ha registrado para MFA, licencias y suscripciones. No puede leer correos, archivos, chats ni calendarios.
- ¿Guardáis las contraseñas de nuestros clientes?
- No. SeatReaper solo guarda las claves de API que creas para él, cifradas, y nunca las vuelve a mostrar.
- ¿Se cifran los datos?
- Sí: en tránsito con TLS y en reposo por nuestros proveedores, y las credenciales de los conectores otra vez con AES-256-GCM con una clave fuera de la base de datos.
- ¿Admitís inicio de sesión único?
- Sí, el inicio de sesión con Microsoft (Entra ID). Los propietarios pueden exigirlo a todo el equipo.
- ¿Está disponible la autenticación multifactor y se puede exigir?
- Sí. Cualquier usuario puede usar una aplicación de autenticación y los propietarios pueden exigirla a todos. Nuestro personal está obligado a usarla.
- ¿Guardáis registros de auditoría?
- Sí, de solo anexado, con cada cambio y cada acción del personal. Los propietarios pueden exportarlos o transmitirlos a un SIEM.
- ¿Quién en SeatReaper puede ver nuestros datos?
- Solo el personal con verificación en dos pasos activa, solo mientras un propietario haya concedido acceso, en modo lectura, por tiempo limitado, y cada vista aparece en tu registro de auditoría.
- ¿Con qué rapidez nos avisaréis de una brecha?
- Sin demora indebida, y en un plazo de 72 horas desde que confirmemos un incidente que afecte a tus datos. Consulta la sección 8 del Anexo de tratamiento de datos.
- ¿Qué pasa con nuestros datos si nos vamos?
- Cancelar un plan de pago te pasa al plan gratuito y conserva tus datos. Cerrar el espacio de trabajo (propietarios, en Configuración) elimina todo su contenido 30 días después, y los propietarios pueden descargarlo todo antes. Desconectar una herramienta elimina sus datos en el acto.
- ¿Han hecho una prueba de penetración?
- No. SeatReaper no ha pasado una prueba de penetración de un tercero. Nuestras reglas de acceso a la base de datos se prueban automáticamente en cada cambio, y cualquiera puede informar de un problema según nuestra política de divulgación de vulnerabilidades.
- ¿Firman un Business Associate Agreement (BAA)?
- No. SeatReaper no firma BAA y no está diseñado para recibir información de salud protegida (PHI). Lee cuentas, licencias, dispositivos, copias de seguridad e inicios de sesión en la formación, no correos, archivos ni historiales de pacientes.
- ¿Los informes de cumplimiento hacen que nosotros o nuestros clientes cumplamos?
- No. Son evidencias de las herramientas que conecta, relacionadas con la HIPAA Security Rule, los CIS Controls v8, la NIST SP 800-171 y las preguntas habituales de los ciberseguros. SeatReaper en sí no ha sido auditado ni certificado según ningún marco.