Responsabilidad compartida
Responsabilidad de control que afectará a Zoho y a usted.
Gestión de identidad y acceso
Proporcionamos infraestructura para gestionar cuentas de usuario a través del servicio de gestión de identidad y acceso (IAM), que facilita lo siguiente:
- Registro de usuarios, opciones de anulación de registro y especificaciones acerca de cómo utilizarlos.
- Funcionalidad para gestionar los derechos de acceso de los usuarios en la nube.
- Técnicas de autenticación sólidas, tales como la autenticación de varios factores y las restricciones de dirección IP.
Usted es responsable de lo siguiente:
- Implementar controles sólidos de gestión de acceso de usuarios.
- Configurar contraseñas sólidas según la política de la organización y protegerlas.
- Habilitar la autenticación de varios factores para los usuarios de la organización.
- Administrar cuentas y privilegios de usuario: configuración de funciones del usuario según el principio de privilegios mínimos.
- Definir los administradores de la cuenta de la organización y tener un proceso adecuado para las transferencias de propiedad. Tomar las medidas necesarias para garantizar que la organización no pierda el control de las cuentas de administrador.
- Revisar periódicamente la lista de usuarios con acceso a los datos y eliminar el acceso de cualquier persona que no deba tenerlo.
- Revisar con frecuencia los dispositivos vinculados a las cuentas de usuario de la organización y eliminar los dispositivos no utilizados o no autorizados.
- Monitorear las cuentas de usuario de la organización en busca de acceso o uso malicioso.
- Notificar a Zoho de cualquier uso no autorizado de las cuentas de la organización.
- Educar a los usuarios acerca de la importancia de una buena gestión de contraseñas, los riesgos de la reutilización de credenciales, el inicio de sesión en redes sociales y los ataques de suplantación de identidad.
Gestión de datos
Le proporcionamos una plataforma para que gestione los datos con lo siguiente:
- Funciones de uso compartido de datos para controles de administrador y de nivel de usuario.
- Funciones de auditoría con respecto a los datos de los clientes para proporcionar transparencia en las actividades importantes y realizar un seguimiento de los cambios.
- Interoperabilidad de datos: la opción de realizar una copia de seguridad completa de los datos y las configuraciones para migrar todos o una parte de los datos a otro proveedor de SaaS.
- Retención y eliminación de datos: conservamos los datos en la cuenta mientras utilice los servicios de Zoho. Una vez que cancela la cuenta de usuario de Zoho, los datos se eliminan de la base de datos activa durante la próxima limpieza, la que se produce una vez cada seis meses. Los datos eliminados de la base de datos activa se eliminan de las copias de seguridad después de tres meses.
- Las funciones de limitaciones de acceso restringen el acceso a los datos del cliente por parte de los empleados y garantizan que solo puedan hacerlo si existe un motivo específico.
Usted es responsable de lo siguiente:
- Debida diligencia mientras se procesa la información que pertenece a categorías especiales (por ejemplo, datos personales o confidenciales) mediante la aplicación de controles adecuados para cumplir con los requisitos de la legislación vigente.
- Configurar el uso compartido y la visualización adecuados de los permisos.
- Revisar periódicamente los informes de auditoría para identificar cualquier actividad sospechosa.
- Mantener la información de contacto actualizada con Zoho.
- Quitar datos del sistema una vez que deje de utilizar nuestros servicios. De lo contrario, se someterá a eliminación permanente sin ningún alcance de recuperación.
Gestión de datos de otras partes
Trabajamos a fin de tener integraciones y extensiones seguras para nuestras aplicaciones de la siguiente manera:
- Aplicaciones de Marketplace: realización de pruebas funcionales, pruebas de seguridad y pruebas de privacidad una vez que nos envía una aplicación. Además, realizamos la revisión del producto y del contenido.
- Subprocesadores: evaluación de las prácticas de seguridad y privacidad de los subprocesadores que deseamos contratar para garantizar que estén en línea con los estándares de privacidad y de seguridad de la información de Zoho. Luego, ejecutamos los acuerdos de protección de datos adecuados con ellos.
- Revisamos la política de privacidad y las condiciones de servicio de nuestros proveedores y nos aseguramos de que sus operaciones las cumplan.
Esperamos que usted realice lo siguiente:
- Habilite o deshabilite integraciones de terceros después de tener en cuenta los datos que se comparten con los entornos de terceros. Debe revisar las condiciones y la política de privacidad del servicio de terceros con respecto a la recopilación, el uso o la divulgación de datos.
- Marque su preferencia respecto a si le gustaría compartir los detalles con los proveedores cada vez que instale una extensión.
- Evalúe la idoneidad de las aplicaciones del Marketplace y la razonabilidad de los permisos solicitados antes de la instalación.
- Notifique a Zoho sobre cualquier comportamiento malicioso identificado en las aplicaciones de Marketplace.
Derechos del interesado
Somos responsables de lo siguiente:
- Proporcionar funciones que permitan a los clientes ajustarse y proteger los derechos de los clientes.
- Notificarle las solicitudes de los clientes cuando se comunican con nosotros directamente para ejercer sus derechos.
Está obligado a realizar lo siguiente:
- Respetar y manejar las solicitudes de los clientes del acceso a los datos, la rectificación, la eliminación y las restricciones en el procesamiento de su información personal.
Encriptado
Protegemos los datos mediante el encriptado en tránsito y en reposo de las siguientes maneras:
- Datos en tránsito: todos los datos de los clientes que se transmiten a nuestros servidores a través de redes públicas se protegen mediante herramientas de encriptado sólidas. Exigimos que todas las conexiones a nuestros servidores utilicen el encriptado de seguridad de la capa de transporte (TLS 1.2/1.3) con cifrados sólidos en todas las conexiones, incluido el acceso web, el acceso de API, nuestras aplicaciones móviles y el acceso a IMAP/POP/SMTP.
- Datos en reposo: los datos confidenciales de los clientes se encriptan mediante el algoritmo del estándar de cifrado avanzado (AES) de 256 bits. Los datos encriptados en reposo varían según los servicios que elija. Poseemos y mantenemos las claves utilizando nuestro servicio de gestión de claves (KMS) interno.
Le sugerimos realizar lo siguiente:
- Determine las necesidades de encriptado. En el caso de los datos en reposo, en muchas situaciones mientras se utilizan nuestros servicios, puede ser responsable de definir cuál de los campos se debe encriptar.
- Cuando los datos de nuestra nube se descargan o exportan a su entorno o se sincronizan en las integraciones de Zoho o con cualquier otra integración de terceros, se debe asegurar de que se apliquen los controles de encriptado pertinentes. Por ejemplo, habilite el encriptado de disco en los dispositivos y utilice la función de exportación con la protección por contraseña habilitada, etc.
Copias de seguridad
Estamos equipados con un sistema sólido para realizar lo siguiente:
- Mantener las copias de seguridad a nivel del sistema encriptadas con el algoritmo de AES de 256 bits y almacenadas de manera segura. Ejecutar automáticamente verificaciones de integridad y validación de las copias de seguridad completas.
- Habilitar las solicitudes de restauración de datos y proporcionar acceso seguro a ellos dentro del período de retención. Proporcionar a los clientes una función para exportar y realizar una copia de seguridad de los datos.
Por su parte, puede realizar lo siguiente:
- Programar una copia de seguridad para los datos, exportarla de los respectivos servicios de Zoho y almacenarla de manera local en la infraestructura, si es necesario. Usted es responsable de almacenarla de manera segura.
Gestión de incidentes
Desde nuestra parte, garantizamos lo siguiente:
- Informar todos los incidentes de vulneración de los que estamos al tanto y lo afectan, junto con los detalles del impacto y las acciones adecuadas. En el caso de incidentes específicos de un usuario individual o una organización, se le notificará a la parte correspondiente por el correo electrónico registrado en nuestros servicios.
- Realizar un seguimiento de dichos incidentes y cerrarlos.
- Implementar controles para evitar que se repitan situaciones similares.
- Si se solicita, proporcionaremos pruebas adicionales relacionadas con el incidente que lo afecta.
Esperamos que usted realice lo siguiente:
- Tome las medidas sugeridas por Zoho en caso de una vulneración.
- Cumpla con los requisitos de notificación y divulgación de la vulneración de datos, tales como la notificación a los usuarios finales y a las autoridades de protección de datos cuando sea pertinente.
- Informe acerca de los incidentes de seguridad y privacidad de los que está al tanto a incidents@zohocorp.com.
Concienciación y capacitación
Asumimos toda la responsabilidad de lo siguiente:
- Capacitar a nuestros empleados para que tengan en cuenta la seguridad y cumplan con un estándar de desarrollo seguro. Los empleados recién contratados forman parte de la capacitación obligatoria acerca de seguridad y privacidad, además de recibir capacitación periódica con respecto a la concienciación sobre seguridad a través de correos electrónicos informativos, presentaciones y recursos disponibles en nuestra intranet.
- Capacitar a nuestros empleados acerca del manejo adecuado de los datos del cliente del servicio en la nube.
Usted es responsable de capacitar a los usuarios de la nube acerca de lo siguiente:
- Estándares y procedimientos para el uso de nuestros servicios.
- Cómo se gestionan los riesgos relacionados con nuestros servicios.
- Riesgos en el sistema general y el entorno de red.
- Consideraciones legales y normativas vigentes.
Política y cumplimiento
Cumplimos con un conjunto de directrices, por ejemplo:
- Tenemos un programa integral de gestión del riesgo implementado e implementamos los controles de manera eficaz.
- Operamos bajo la ley de diversas jurisdicciones desde las que operamos.
- Proporcionamos pruebas del cumplimiento de las legislaciones vigentes y según nuestros requisitos contractuales.
- Ayudaremos en las evaluaciones de la DPIA de nuestros clientes en la medida permitida por las leyes vigentes.
Esperamos que usted realice lo siguiente:
- Evalúe las regulaciones y las leyes que se le aplican y revise nuestro cumplimiento de las regulaciones y los estándares que se necesitan para la empresa. Puede solicitar información adicional para utilizarla como prueba de nuestro cumplimiento.
- Comprenda nuestras políticas, nuestros métodos de evaluación de políticas y cómo procesamos los datos.
- Lleve a cabo una DPIA según lo exijan las leyes de protección de datos vigentes en la organización antes o durante el procesamiento de datos
- Antes de procesar cualquier dato personal o confidencial, evalúe la base legal. En caso de que la base legal tenga consentimiento, asegúrese de obtener el consentimiento de los clientes.
- Evalúe la idoneidad de nuestros servicios basados en la nube según la información que proporcionamos y asegúrese de que sea suficiente para satisfacer las necesidades de cumplimiento.
- Comprenda el perfil de riesgo y la confidencialidad de los datos alojados en los servicios de Zoho y aplique los controles adecuados.
