Política de Seguridad de la Información

1. Objetivo

La alta dirección de Worky, entendiendo la importancia de una adecuada gestión de la información, se ha comprometido con la implementación de un Sistema de Gestión de Seguridad de la Información buscando establecer un marco de confianza en el ejercicio de sus servicios con sus clientes y proveedores, todo enmarcado en el cumplimiento de las leyes y en concordancia con la misión y visión de la entidad. En ese sentido, el presente documento tiene por objetivo establecer todos los lineamientos de seguridad aplicados por Worky para proteger sus activos y garantizar la confidencialidad, integridad y disponibilidad de su información, alineados a la misión, visión y valores de la organización.

2. Alcance

El SGSI de Worky abarca la protección de la información y aplicación de los controles relacionados con los datos de clientes gestionados a través de Worky. Este sistema incluye las actividades de desarrollo del SaaS, gestión del cliente, soporte técnico, facturación y cobranza.

3. Protección de datos personales

• Cumplimiento con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (Mexico).

• Métodos de enmascaramiento: cifrado, anulación de caracteres, variación de datos, sustitución y hashing.

• Procedimiento de Anonimización cuando sea necesario desvincular datos del titular.

• La seguridad se aplica de manera uniforme a toda la información, sin distinción de si contiene o no datos personales.
  
  

4. Clasificación y gestión de activos de información

• Confidencial / Sensible: Mayor nivel de custodia; su afectación genera consecuencias graves.

• Organizacional / Interna: Custodia moderada, de uso restringido al personal autorizado.

• Pública: Sin restriccion de divulgación. Toda información sin etiquetado explícito se considera pública.

• Inventario activo de activos con propietario asignado y revisión periódica.
  
  

5. Gestión de accesos y autenticación

• Principio de mínimo privilegio: cada colaborador accede sólo a lo estrictamente necesario para su función.

• Modelo Single Sign-On (SSO) con segundo factor de autenticación (2FA) obligatorio para todos.

• Revisión de accesos y privilegios al menos cada 3 meses por el Área de Seguridad e Infraestructura.

• Revocación inmediata de accesos al término de la relación laboral o contractual.

• Contraseñas de mínimo 8 caracteres con mayúsculas, minúsculas, números y símbolos; gestionadas con gestor de contraseñas.
  
  

6. Cifrado y seguridad de datos

• Toda comunicación cliente-plataforma cifrada con HTTPS TLS 1.3 y certificado de 2 048 bits.

• Almacenamiento en nube bajo cifrado simétrico AES.

• Firma de documentos digitales mediante DocuSign.

• Acceso remoto a plataformas protegido via OpenVPN.

• Correos electrónicos confidenciales cifrados con estándar OpenPGP.
  
  

7. Gestión de incidentes de seguridad

• Canal de reporte disponible para clientes en: soporte@worky.mx, página de estatus y Help Center.

• Clasificación de incidentes por severidad con tiempos de respuesta definidos.

• Todos los incidentes son atendidos por el Área de Seguridad e Infraestructura.

• Protocolos revisados y actualizados anualmente por el equipo de seguridad y el Comité de Datos.

• Buzón anónimo de quejas y sugerencias disponible dentro de la Worky App.
  
  

8. Continuidad del negocio y recuperación ante desastres

• Sistemas operando de forma redundante en al menos dos zonas de disponibilidad en GCP.

• Respaldos de información en al menos dos regiones geográficas distintas.

• Backups automáticos cada 24 horas con retención de logs de 3 años.

• Datos de clientes respaldados por hasta 365 días tras el fin de la relación contractual; luego se destruyen de forma segura.

• Planes de Continuidad (BCP) y Recuperación ante Desastres (DRP) documentados, probados y actualizados.
  
  

9. Cumplimiento y auditorias

• Programa de seguridad alineado a ISO/IEC 27001; auditorías internas y externas regulares.

• Pruebas de penetración tipo 'caja negra' al menos dos veces al año.

• Ethical Hacking realizado al menos una vez al año.

• Evaluaciones de riesgo formales al menos una vez al año o ante cambios significativos.

• Gestión de vulnerabilidades con escaneos periódicos, priorización por criticidad y planes de remediación.
  
  

Fecha de última actualización: Febrero 2026
Versión 1.0

Para mayor detalle sobre la arquitectura de seguridad de Worky, consulte el documento Seguridad de la Información en Worky. Consultas adicionales: soporte@worky.mx