Antes de describir nuestras opciones de registro (logs), es importante entender que nuestra plataforma consta de dos aplicaciones distintas:
- Aplicación para denuncias (Whistleblowing app)
- Aplicación de gestión de casos (Case management app)
Nivel de la aplicación para denuncias
Nuestra política consiste en minimizar los registros a este nivel, ya que debemos proteger a los informantes.
Por defecto, no registramos ningún tipo de LOG en esta aplicación:
- No recopilamos huellas digitales (IP, cookies, metadatos de dispositivos, perfiles en redes sociales, historial de compras en línea, consultas en motores de búsqueda, datos de localización, registros públicos, participación en foros, datos en la nube, uso de apps móviles, comportamiento de navegación en e-commerce, correos electrónicos en la nube, perfiles de juegos en línea, datos GPS, datos biométricos de dispositivos, datos de dispositivos inteligentes del hogar, interacciones con asistentes de voz, historial de navegación, contenido descargado, etc.)
- No usamos scripts que puedan identificar a los informantes.
- No utilizamos cookies ni tecnologías similares.
El registro mínimo incluye únicamente eventos esenciales para que los equipos de respuesta puedan actuar a tiempo:
- Eventos de registro de informes
- Comentarios realizados por los informantes
- Cargas de archivos por parte de los informantes
Aclaramos que, aunque no recolectamos nada a nivel de aplicación, sí existen registros técnicos en el Firewall de Aplicaciones Web (WAF) y a nivel del servidor web. Sin embargo, hemos garantizado que estos registros:
- Están restringidos y no son accesibles por nadie por debajo del nivel de miembros del consejo.
- No permiten vincular los eventos de informes con los eventos registrados.
- No son almacenados por nosotros y se eliminan automáticamente por los proveedores externos después de unas horas.
Nivel de la aplicación de gestión de casos
Nuestra política consiste en maximizar los registros a este nivel, ya que debemos proteger la confidencialidad de los datos y la integridad de la plataforma.
Por lo tanto, registramos toda la información posible: IPs, cookies, scripts, acciones, etc.
Existen varios niveles de registros:
- Disponible desde la interfaz para todos los usuarios de gestión de casos.
- Muestra acciones de los usuarios hacia casos / tareas / archivos.
- Muestra únicamente el nombre del usuario y sus acciones.
Registro de Auditor / Admin dentro de la app
- Disponible desde la interfaz para usuarios con niveles de acceso más altos.
- Muestra la mayoría de acciones de los usuarios.
- Usado también por nuestro equipo de soporte.
- Incluye nombre de usuario, IPs, ubicaciones, sesiones, visitas, acciones.
Registro del Backend de la aplicación
- No disponible para usuarios de la plataforma.
- Utilizado por el equipo técnico para resolución de problemas, mejoras de rendimiento y desarrollo de código.
- También utilizado por el equipo de seguridad ante incidentes o autoevaluaciones de seguridad.
Registros de herramientas de seguridad (WAF, etc.)
- No disponible para usuarios de la plataforma.
- Utilizados por el equipo de seguridad en la gestión de la seguridad de la información.
Registro de infraestructura integrada
- No disponible para usuarios de la plataforma.
- Usado por los equipos de soporte / técnicos / de seguridad.
Registro consolidado de eventos de seguridad (SIEM)
- No disponible para usuarios de la plataforma.
- Utilizado por los equipos de soporte / técnicos / de seguridad.
En el contexto de la gestión de datos dentro del sistema de gestión de casos, los registros se conservan durante 12 meses o hasta el final del contrato, lo que ocurra primero. Este período de retención asegura el cumplimiento normativo y minimiza el riesgo de almacenamiento innecesario de datos.
Esta práctica está alineada con los principios de minimización de datos y limitación de propósito, fundamentales en la gestión moderna del cumplimiento.