Transparencia Radical: En LicitaciónYa documentamos con estricta veracidad las medidas de seguridad técnicas y organizativas que respaldan nuestra infraestructura hoy en día. Rechazamos promesas infladas o certificaciones ficticias.
01. Cifrado de Datos en Tránsito (HTTPS / TLS 1.3)
Toda interacción con la plataforma, interfaces web y consumo de APIs de datos abiertos del SERCOP se ejecuta de forma obligatoria bajo conexiones seguras cifradas:
Cifrado Robusto TLS 1.3 y TLS 1.2
Las conexiones web imponen suites criptográficas modernas que garantizan confidencialidad e integridad, impidiendo ataques de interceptación o lectura en tránsito (man-in-the-middle).
Cabeceras de Seguridad HTTP Activas
Implementación de políticas estrictas de transporte seguro (HSTS), bloqueo de renderizado en iframes externos (X-Frame-Options: DENY) y protección contra suplantación de tipo MIME (X-Content-Type-Options: nosniff).
02. Gestión Cifrada de Secretos y Credenciales de Entorno
La plataforma aplica políticas rigurosas de desarrollo seguro (DevSecOps) para evitar la fuga o exposición inadvertida de claves:
- Cero Credenciales en Código: El repositorio de software está auditado; ninguna clave de API, token de base de datos ni secreto sensible reside en texto plano dentro del código fuente.
- GitHub Encrypted Secrets: Todas las credenciales de ejecución (tokens de Turso libSQL, credenciales de WhatsApp Business y llaves de correo) se almacenan en la bóveda de secretos de GitHub, cifradas con el estándar asimétrico
NaCl Libsodium (Curve25519)y en reposo medianteAES-256-GCM. - Aislamiento de Runners: Los entornos automatizados de ejecución se destruyen inmediatamente tras completar cada ciclo de auditoría de 6 horas, sin persistencia residual de credenciales en memoria temporal.
03. Seguridad en Base de Datos Relacional (Turso libSQL)
El resguardo de las firmas hash y metadatos de licitaciones públicas se realiza sobre Turso, una base de datos relacional serverless basada en libSQL:
Autenticación Criptográfica por Token Bearer
Las conexiones a la base de datos exigen autenticación criptográfica mediante tokens seguros con permisos restringidos. Ningún puerto ni endpoint está abierto al público sin validación previa.
Principio de Mínimo Privilegio Operativo
Los procesos de sincronización operan con los privilegios mínimos necesarios para escribir hashes de deduplicación y leer registros de auditoría de los últimos cortes de SERCOP.
04. Confidencialidad Comercial y Secreto Industrial
Entendemos que los términos de búsqueda, productos de catálogo y áreas geográficas de una empresa constituyen información comercial crítica y sensible frente a sus competidores:
- Cláusula de Confidencialidad: Todo parámetro comercial provisto por el cliente para el filtrado de procesos está protegido por estricto secreto profesional.
- Prohibición de Filtración Cruzada: LicitaciónYa no comparte, no cruza ni utiliza la información de búsqueda de un cliente para beneficiar a otro competidor del mismo rubro.
- Canal Privado de Entrega: Las alertas de licitaciones y matrices en Excel se envían de forma exclusiva a los números y correos autorizados por la gerencia del cliente.
05. Integridad de Datos y Deduplicación Criptográfica SHA-256
Para garantizar que ninguna licitación se pierda y al mismo tiempo evitar duplicidad de alertas en su WhatsApp:
- Cada proceso oficial del SERCOP es normalizado en memoria mediante el estándar Unicode
NFKCy convertido en un identificador hash determinístico de 64 caracteres empleando el algoritmo criptográfico SHA-256. - Este hash permite cotejar al instante con el registro histórico de Turso, detectando cambios de estado (ej. de convocatoria abierta a adjudicación) sin alterar la integridad original de los datos públicos.
06. Protocolo de Respuesta y Notificación de Incidentes (Máximo 72h)
En estricto cumplimiento del marco de seguridad de la información y la Ley Orgánica de Protección de Datos Personales (LOPDP):
Compromiso Formal de Notificación en 72 Horas: En caso fortuito de detectarse una vulneración de seguridad que comprometa la confidencialidad de datos personales o comerciales de nuestros clientes, LicitaciónYa notificará formalmente a los afectados y a la autoridad correspondiente en un plazo no mayor a setenta y dos (72) horas, detallando el alcance del incidente, medidas correctivas de contención adoptadas y acciones sugeridas de mitigación.
07. Transparencia Operativa y Modelo de Arquitectura Actual
Nuestro sistema opera hoy mediante una arquitectura serverless desacoplada y robusta:
- Ciclos de Auditoría Cada 6 Horas: Ejecución programada mediante cron workflows para consultar las fuentes abiertas OCDS de compras públicas de Ecuador.
- Despacho Automatizado Unitario: Notificaciones a través de la API oficial de WhatsApp Business y correo transaccional de alta reputación (Resend).
- Canales de Contingencia: Ante cualquier interrupción en la infraestructura de Meta/WhatsApp, el sistema cuenta con respaldo inmediato hacia Telegram y correo electrónico.
¿Tiene requerimientos de seguridad o compliance específicos?
Nuestro equipo técnico puede coordinar anexos de confidencialidad (NDA) para su empresa.