Descripción de la Seguridad de los Servicios

Esta Descripción de la Seguridad de los Servicios ("Descripción de Seguridad") se incorpora a los Términos y Condiciones de Grovity aceptados por el Cliente, o a cualquier contrato marco de servicios firmado o acuerdo escrito similar entre Grovity y el Cliente (en conjunto, el "Acuerdo"), y forma parte de ellos. Las referencias a "Grovity" se refieren a Grovity Services LLC, 600 Campana Ave, Miami, FL 33156, Estados Unidos, y sus afiliadas. "Cliente" se refiere al Cliente contratante y sus afiliadas.

Esta Descripción de Seguridad describe el programa de seguridad aplicable a los Servicios de Grovity ("Servicios") y las salvaguardas que Grovity mantiene para proteger los Datos del Cliente (según se definen en el Acuerdo) contra el uso, acceso, divulgación, robo o manipulación no autorizados. El programa de seguridad de Grovity evoluciona de forma continua; las actualizaciones de esta Descripción de Seguridad no reducirán de manera sustancial las protecciones generales aquí descritas. Los términos en mayúscula inicial no definidos aquí tienen el significado que se les atribuye en la Política de Privacidad.

El programa de seguridad de Grovity está diseñado con referencia a marcos reconocidos de la industria, entre ellos:

• Los Criterios de Servicios de Confianza (Trust Services Criteria) SOC 2 del AICPA (seguridad, disponibilidad, confidencialidad e integridad del procesamiento).
• ISO/IEC 27001 e ISO/IEC 27002.
• El NIST Cybersecurity Framework, NIST SP 800-53 (familias de controles) y NIST SP 800-61 (gestión de incidentes).
• El AWS Well-Architected Framework, incluidos sus pilares de Seguridad y Fiabilidad.
• El OWASP Application Security Verification Standard (ASVS), el OWASP API Security Top 10 y el OWASP Top 10 for Large Language Model Applications.

Los Servicios están construidos íntegramente sobre servicios administrados de Amazon Web Services (AWS) y otros proveedores de nivel empresarial, bajo un modelo de responsabilidad compartida:

• Controles heredados. Los controles físicos, ambientales, de red y de plataforma son provistos por AWS, que mantiene las certificaciones ISO/IEC 27001, 27017 y 27018, los informes SOC 1, SOC 2 Tipo II y SOC 3, y la atestación PCI DSS Nivel 1 como Proveedor de Servicios. Los Clientes pueden verificarlos de forma independiente a través de AWS Artifact. Los demás proveedores críticos de Grovity mantienen sus propias certificaciones, enumeradas en la página de Subencargados de Grovity.
• Controles de Grovity. Sobre esa base certificada, Grovity implementa y opera sus propios controles de identidad y acceso, cifrado a nivel de aplicación y de campo, aislamiento entre clientes (tenants), desarrollo seguro, gobernanza de la IA y operaciones monitoreadas, según se describe en este documento.

La documentación de seguridad detallada, los diagramas de arquitectura y de flujo de datos, y las respuestas a cuestionarios de seguridad estándar están disponibles para Clientes y Clientes potenciales, bajo acuerdo de confidencialidad (NDA), a través de security@grovity.ai.

Esta Descripción de Seguridad se aplica a los controles que Grovity implementa para los Servicios en producción. No cubre:

• Las ofertas Beta o Alpha (según se describen en los Términos y Condiciones).
• Los servicios prestados directamente por operadores de telecomunicaciones, plataformas de mensajería, proveedores de IA de terceros, redes de pago u otros terceros independientes, que se rigen por los términos de seguridad propios de dichos proveedores.
• Los entornos controlados por el Cliente, incluidos los dispositivos y redes del Cliente, las integraciones desarrolladas por el Cliente y cualquier sistema fuera del control razonable de Grovity.

Grovity mantiene un programa de seguridad de la información basado en riesgos que abarca salvaguardas administrativas, técnicas y físicas adecuadas a la naturaleza de los Servicios, al tamaño y la complejidad de las operaciones de Grovity y a la sensibilidad de los datos tratados. El programa cubre los siguientes dominios:

• Políticas y procedimientos
• Gestión de activos
• Gestión de identidades y accesos
• Criptografía y gestión de claves
• Seguridad física y ambiental (provista a través de regiones de nube certificadas)
• Seguridad de las operaciones y de las comunicaciones
• Continuidad del negocio y recuperación ante desastres
• Seguridad del personal
• Desarrollo seguro y seguridad de las aplicaciones
• Seguridad de la infraestructura de nube y de red
• Gestión de vulnerabilidades y de parches
• Gestión de riesgos de terceros y proveedores
• Monitoreo de seguridad y respuesta a incidentes
• Gobernanza de la IA
• Cumplimiento

Las políticas de seguridad de la información se revisan al menos una vez al año. La seguridad cuenta con el patrocinio del nivel directivo, y el Director de Tecnología (Chief Technology Officer) es el responsable del programa de seguridad. Grovity mantiene una hoja de ruta de seguridad que se comparte con los Clientes empresariales, bajo NDA, como parte de su evaluación de riesgo de proveedores.

Grovity mantiene controles para proteger la confidencialidad de los Datos del Cliente de conformidad con el Acuerdo. El personal y los contratistas de Grovity con acceso a los Datos del Cliente están sujetos a obligaciones de confidencialidad que subsisten tras la terminación de su relación con Grovity.

El programa de seguridad del personal de Grovity abarca la incorporación, la confidencialidad, la concienciación en seguridad y la desvinculación. El acceso se otorga según el rol y se revoca con prontitud al terminar la relación. Cuando la ley local lo permita y el rol lo justifique, Grovity podrá realizar verificaciones de antecedentes. El personal recibe orientación sobre las políticas de seguridad de Grovity, las prácticas de desarrollo seguro, la ingeniería social y los principios de privacidad.

Grovity utiliza proveedores externos (tales como proveedores de infraestructura en la nube, bases de datos, modelos de IA, voz y observabilidad) para prestar los Servicios. Grovity opera un programa de Gestión de Riesgos de Terceros conforme al cual los proveedores se evalúan según su criticidad antes de su contratación, lo que incluye la revisión de sus certificaciones de seguridad y de sus términos de protección de datos, y quedan sujetos a supervisión continua. Los Datos del Cliente deben ser devueltos o eliminados al finalizar la relación con un proveedor.

La lista vigente de Subencargados (subprocesadores) se publica en https://www.grovity.ai/subprocessors. Los operadores de telecomunicaciones, las plataformas de mensajería y las redes de pago seleccionados o contratados por el Cliente no son Subencargados de Grovity; sus servicios se rigen por sus propios términos.

Grovity celebra contratos escritos con sus Subencargados que incluyen obligaciones de confidencialidad, seguridad y protección de datos acordes con la ley aplicable, incluido el compromiso de que los Datos del Cliente no se utilicen para entrenar los modelos de propósito general de los proveedores.

La plataforma Grovity está alojada en AWS en los Estados Unidos (región us-east-1), con regiones adicionales disponibles para Clientes específicos en virtud de un acuerdo comercial separado. La plataforma tiene una arquitectura multicliente (multi-tenant) nativa de la nube, definida como Infraestructura como Código (Infrastructure-as-Code), lo que garantiza la reproducibilidad, una gestión de cambios auditable y el escalado automático. El procesamiento principal es sin servidor (serverless) y asíncrono, y utiliza colas administradas con colas de mensajes no entregados (dead-letter queues), de modo que los mensajes recibidos durante degradaciones parciales se conservan y se procesan.

Las cargas de trabajo de producción se ejecutan en entornos de red lógicamente aislados y dedicados a Grovity. El aislamiento entre clientes se aplica del lado del servidor: cada registro tratado por los Servicios está vinculado a un identificador de cliente, y cada solicitud y consulta se limita a dicho identificador, con independencia de las entradas del usuario o de las salidas del modelo. La recuperación de información de la base de conocimiento para los agentes de IA se limita igualmente al cliente y al agente que la solicitan.

La infraestructura utiliza múltiples zonas de disponibilidad dentro de la región de AWS para sus servicios administrados.

Grovity sigue el principio de mínimo privilegio y utiliza control de acceso basado en roles para sus sistemas internos. El personal solo puede acceder a los Datos del Cliente en la medida en que lo requieran su rol y sus responsabilidades. Los derechos de acceso se revisan periódicamente y se revocan con prontitud ante un cambio de rol o la terminación de la relación.

El acceso administrativo a la infraestructura de producción utiliza identidades individuales y atribuibles a través de un proveedor de identidad centralizado (AWS IAM Identity Center), con sesiones cifradas. No se utilizan cuentas compartidas para el acceso de personas. Las acciones administrativas sobre la infraestructura en la nube quedan registradas en registros de auditoría (AWS CloudTrail).

Las credenciales de los usuarios del Cliente se gestionan a través de Amazon Cognito y se almacenan mediante funciones hash unidireccionales robustas. Los Clientes pueden habilitar la autenticación multifactor para sus usuarios. La federación con el proveedor de identidad corporativo del Cliente (OIDC o SAML 2.0) está disponible para Clientes empresariales. El acceso a la API utiliza tokens que se almacenan como hashes y que pueden rotarse o revocarse.

Los cambios en el software y en la infraestructura se gestionan mediante control de versiones e Infraestructura como Código, con revisión por pares antes de su despliegue en producción. Los despliegues son trazables hasta el cambio correspondiente y se dispone de procedimientos de reversión. Las configuraciones y los prompts de los agentes están versionados, de modo que puede identificarse la configuración vigente en cualquier momento.

Los puntos de conexión (endpoints) públicos de la plataforma exigen TLS 1.2 o superior. No se admiten protocolos heredados (SSLv3, TLS 1.0 y TLS 1.1). Las conexiones a las bases de datos y a los proveedores están cifradas.

Los Datos del Cliente en reposo se cifran con AES-256 mediante AWS Key Management Service (KMS) o el cifrado nativo equivalente de cada servicio administrado. Los datos más sensibles (como credenciales de terceros, tokens de acceso a canales y claves de integración) reciben una capa adicional de cifrado a nivel de aplicación.

Las claves de cifrado se gestionan en AWS KMS, que utiliza módulos de seguridad de hardware validados conforme a FIPS 140. Los secretos de la aplicación se almacenan en AWS Secrets Manager y AWS Systems Manager Parameter Store, nunca en el código fuente. El acceso a las claves y a los secretos está restringido a roles autorizados y queda registrado. Las claves administradas por el cliente (BYOK) pueden ofrecerse a Clientes empresariales en virtud de un acuerdo comercial separado.

Grovity utiliza certificados TLS emitidos por autoridades de certificación reconocidas, con renovación automática.

Los puntos de conexión públicos están precedidos por servicios administrados por AWS que incluyen la protección de AWS Shield Standard contra ataques DDoS comunes en las capas de red y de transporte. Grovity aplica limitación de solicitudes (throttling) y límites de tasa (rate limiting) a sus API, así como validación tipada de entradas con listas de campos permitidos en sus puntos de conexión.

Grovity gestiona las vulnerabilidades con un enfoque basado en riesgos. Las dependencias se fijan mediante archivos de bloqueo (lockfiles) y se mantienen actualizadas. Dado que los Servicios se ejecutan principalmente sobre servicios administrados y sin servidor, la aplicación de parches del sistema operativo de esa infraestructura la realiza el proveedor de nube; los componentes que Grovity opera directamente se actualizan mediante su reconstrucción y nuevo despliegue. Las vulnerabilidades identificadas se priorizan y se corrigen según su severidad.

El programa de seguridad de Grovity contempla pruebas de penetración independientes de la plataforma, que abarcan el perímetro externo, las API, el aislamiento entre clientes y la superficie de los agentes de IA (incluido el OWASP Top 10 for LLM Applications). Los Clientes empresariales pueden solicitar información sobre las pruebas de seguridad, bajo NDA, como parte de su evaluación de riesgo de proveedores. Los Clientes no pueden realizar sus propias pruebas de seguridad de los Servicios sin un acuerdo de pruebas previo y por escrito con Grovity (véase la Política de Uso Aceptable).

Grovity mantiene procedimientos de gestión de incidentes alineados con NIST SP 800-61, que abarcan la detección, el análisis, la contención, la erradicación, la recuperación y la revisión posterior al incidente.

Al descubrir un incidente de seguridad que afecte a los Datos del Cliente, o al ser notificada de él, Grovity:

• Investigará el incidente con prontitud y adoptará medidas de contención.
• Notificará al Cliente afectado sin demora injustificada y, en todo caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento razonable de un incidente que afecte o pueda afectar a los Datos del Cliente, salvo que el Acuerdo o el ANS aplicable establezcan un plazo más corto.
• Proporcionará la información razonablemente disponible sobre la naturaleza del incidente, las categorías de datos afectados, las medidas adoptadas y las acciones correctivas previstas.
• Cooperará con el Cliente en las notificaciones a las autoridades y en las comunicaciones a los Titulares, en la medida en que el incidente se encuentre dentro del control razonable de Grovity.

Grovity acoge con agrado los reportes de vulnerabilidades de seguridad de investigadores y Clientes. Los reportes pueden enviarse las 24 horas del día, los 7 días de la semana, a security@grovity.ai y deben incluir una descripción del problema y los pasos para reproducirlo. Grovity acusará recibo, mantendrá informada a la persona que reporta sobre el avance y no emprenderá acciones legales contra la investigación de buena fe que: no acceda, modifique ni conserve datos de otros usuarios más allá de lo estrictamente necesario para demostrar el problema; no degrade los Servicios; y otorgue a Grovity un plazo razonable para la corrección antes de cualquier divulgación pública. El archivo de contacto legible por máquina de Grovity se publica en https://www.grovity.ai/.well-known/security.txt.

Los Servicios utilizan servicios administrados con escalado automático distribuidos en múltiples zonas de disponibilidad. El procesamiento asíncrono con colas y colas de mensajes no entregados evita la pérdida de mensajes durante degradaciones parciales, y la definición como Infraestructura como Código permite reconstruir el entorno de forma controlada. El monitoreo y las alertas (Amazon CloudWatch y el seguimiento de errores de la aplicación) notifican en tiempo real al equipo de operaciones sobre anomalías.

Los compromisos de disponibilidad del servicio, los tiempos de respuesta a incidentes y los objetivos de recuperación se establecen en el Acuerdo de Niveles de Servicio (ANS) publicado en https://www.grovity.ai/sla o en el Acuerdo del Cliente.

Los datos críticos (información de la cuenta, configuración, historial de conversaciones, archivos y otros datos operativos) se respaldan mediante las capacidades de copia de seguridad administradas de los proveedores de bases de datos y de almacenamiento de Grovity. Las copias de seguridad se cifran, se almacenan de forma redundante y se conservan según ciclos de retención definidos, tras los cuales se sobrescriben o eliminan.

La infraestructura de producción de Grovity está alojada en los Estados Unidos. El personal de Grovity que presta soporte puede estar ubicado en los Estados Unidos, Colombia, Brasil, Guatemala y Jamaica, y accede a la plataforma únicamente a través de los canales controlados descritos en la Sección 9. Las transferencias internacionales de Datos Personales se rigen por la Política de Privacidad y por los mecanismos contractuales aplicables. El despliegue en una región adicional está disponible sujeto a un acuerdo comercial separado.

Grovity mantiene registros centralizados, monitoreo y seguimiento de errores. Las credenciales, los tokens y los Datos Personales se enmascaran o se suprimen en los registros operativos. Los registros solo son accesibles para el personal autorizado y se conservan conforme a la política de retención de Grovity y a sus compromisos contractuales.

Los agentes de IA operan dentro de una capa de orquestación controlada: solo pueden invocar las funciones de negocio predefinidas que se les asignan, con parámetros tipados validados del lado del servidor; las instrucciones del sistema se mantienen separadas del contenido del Usuario Final; y la recuperación de conocimiento se limita al cliente que la solicita. Los datos de tarjetas de pago (PAN, CVV) nunca se incluyen en los prompts. El Contenido del Cliente no se utiliza para entrenar modelos de terceros. Hay más detalle disponible en la declaración de IA Responsable de Grovity.

Los Servicios pueden configurarse para tratar datos sensibles, incluida información relacionada con la salud, con sujeción al Anexo de Datos de Salud y a las obligaciones del Cliente descritas en él. La Información de Salud Protegida (PHI) conforme a HIPAA solo podrá tratarse en virtud de un Business Associate Agreement (BAA) celebrado con Grovity.

El Cliente es responsable de: (i) mantener seguras sus credenciales y factores de autenticación y habilitar la autenticación multifactor para sus usuarios; (ii) configurar adecuadamente su cuenta en la plataforma, incluidos los roles de acceso, las instrucciones de los agentes y las credenciales de integración; (iii) asegurar que sus Usuarios Finales cumplan la Política de Uso Aceptable; (iv) clasificar los datos que envía y no transmitir categorías de datos que excedan el alcance del Servicio contratado; y (v) implementar controles complementarios en su propio entorno.

Grovity podrá actualizar esta Descripción de Seguridad periódicamente. Las actualizaciones no reducirán de manera sustancial las protecciones generales aquí descritas. Los cambios sustanciales se comunicarán de conformidad con los Términos y Condiciones.