52

Seguridad y accesos

Cómo viajan y dónde quedan los datos, y lo que preguntará su área de riesgo.

Arquitectura

Prueba de concepto con folios anonimizados, sin datos reales de clientes.

La aplicación no queda publicada abiertamente en internet: el acceso pasa por el login corporativo del banco.

Cumplimiento

Sin sellos ni certificaciones atribuidas a Seed EM.

  • Datos personalesLey 1581 de 2012 y decretos reglamentarios. Seed EM como encargado del tratamiento, contrato de transmisión, minimización y enmascaramiento.Por firmar
  • Superintendencia FinancieraRequisitos de seguridad de la información, ciberseguridad, tercerización y uso de nube de la Circular Básica Jurídica (a validar con Cumplimiento).A confirmar con el banco
  • Mensajes de datos, firma y sello de tiempoLey 527 de 1999 y su reglamentación.Diseñado
  • Actuaciones judiciales por medios digitalesLey 2213 de 2022.Diseñado
  • Conservación de documentosCódigo de Comercio art. 60 y Ley 962 de 2005 art. 28: 10 años, en medio técnico que garantice su reproducción exacta.Diseñado
  • Seguridad de la informaciónControles alineados con ISO/IEC 27001 (sin certificación declarada), gestión de incidentes, continuidad y retención de registros.A confirmar con el banco
  • Riesgo operativoSeedClerk se incorpora a la matriz de riesgos del banco.A confirmar con el banco
  • Proveedor crítico ante la SFC (seguridad de la información, ciberseguridad, información confidencial)Requisitos de la Circular Básica Jurídica para proveedores críticos: gestión de seguridad de la información, ciberseguridad y manejo de información confidencial.A confirmar con el banco
  • Vinculación SARLAFT del proveedor: listas restrictivas y composición accionaria de Seed EM · documentación disponible para el bancoConsulta en listas restrictivas (ONU, OFAC y listas vinculantes) y certificado de composición accionaria de Seed EM, entregados al banco para su proceso de vinculación.Diseñado

Lo que preguntará su área de riesgo

  • Quién ve los datosSolo usuarios de Coopcentral autorizados por rol, entrando por login corporativo. El equipo de Seed EM no accede a datos de clientes sin autorización registrada.Diseñado
  • Dónde están los datosEn una cuenta de AWS dedicada al banco. La región se acuerda con el área de riesgo.A confirmar con el banco
  • Nube y SFCNotificación y requisitos de la Superintendencia Financiera para servicios en la nube, según la regulación vigente.A confirmar con el banco
  • Datos personales (Ley 1581)Seed EM actúa como encargado del tratamiento; el banco es el responsable. Se formaliza en el contrato de transmisión.Por firmar
  • Control de accesoLogin corporativo con segundo factor, roles por función y sesiones con expiración.Diseñado
  • TrazabilidadOriginales inmutables y bitácora de solo inserción: cada extracción registra modelo y versión; cada decisión, quién la aprobó.Diseñado

Certificaciones

SOC 1/2/3 e ISO 27001/27017/27018 de los servicios de AWS utilizados.