Seguridad
Cada parte de Deck está diseñada para proteger tus datos y los accesos de tus usuarios. Lo que tus usuarios comparten contigo queda entre tú y ellos.
Las contraseñas se quedan en la bóveda
Las credenciales se tokenizan en Deck Vault en cuanto tu usuario las envía. Tu producto solo guarda un ID de credencial, así que las contraseñas nunca llegan a tu base de datos, a tus logs ni a una respuesta de la API.
Tokenizadas al escribirse
Los secretos se guardan en la bóveda antes de que se guarde la credencial. Si eso falla, no se almacena nada.
Nunca registradas ni devueltas
Los secretos se eliminan de los logs y ningún endpoint de la API los devuelve.
Eliminadas para siempre
Elimina una credencial y sus secretos y el estado de sesión guardado desaparecen para siempre.
Auditado de forma independiente
Nuestros controles los prueban evaluadores externos, no solo están por escrito. Los informes, las políticas y la lista de subencargados están en el Trust Center.
Visitar el Trust CenterSOC 2 Type II
Auditado por una firma de contadores públicos independiente.
PCI DSS nivel 1
Validado por un Qualified Security Assessor (QSA).
HIPAA
Salvaguardas para la información médica protegida.
RGPD y PIPEDA
Controles de privacidad para datos personales de la UE y Canadá.
Diseñado para datos de tarjetas
Deck cumple con PCI DSS v4.0.1 nivel 1, el nivel más alto que existe. Un Qualified Security Assessor independiente probó cada requisito directamente para nuestro Report on Compliance, así que los agentes pueden pagar facturas, añadir tarjetas y cambiar métodos de pago en nombre de tus usuarios.
- Datos del titular de la tarjeta cifrados en reposo y en tránsito
- Controles de acceso en cada sistema dentro del alcance
- Registro y monitoreo del entorno de datos de tarjetas
- Escaneos de vulnerabilidades y pruebas de seguridad periódicos
La Attestation of Compliance está en el Trust Center. El Report on Compliance completo está disponible bajo NDA.
Cada ejecución está contenida
Cada ejecución de tarea corre en una sesión: un entorno de cómputo aislado que Deck aprovisiona bajo demanda y elimina tras 10 minutos de inactividad.
Sesiones limpias
Navegador limpio en cada sesión: solo se restaura el inicio de sesión guardado de una credencial, cifrado con AES-256-GCM.
Alcance de credenciales
Cada credencial está vinculada a una sola fuente y solo sale de la bóveda para autenticar una sesión en ella.
Pausas de interacción
La MFA pausa la ejecución hasta 5 minutos mientras tu usuario responde. Las ejecuciones desatendidas pueden fallar de inmediato.
Rastro de capturas
Capturas cada 5 segundos aproximadamente, con el razonamiento del agente, conservadas 15 días y disponibles en la API.
Los datos sensibles quedan fuera de la vista
El tráfico se cifra con TLS y los datos almacenados con AES-256. Para números de tarjeta, números de cuenta y documentos de identidad, puedes ir más allá.
Entradas tokenizadasEnterprise
Marca campos como los números de tarjeta y van a la bóveda en lugar de al registro de la ejecución.
Cifrado de payloadsEnterprise
Las entradas y salidas de las tareas vuelven cifradas con una clave que tú guardas y descifras de tu lado.
Tareas sensibles
Oculta la vista en vivo, las capturas y el razonamiento en la Console para ejecuciones en portales bancarios o de nómina.
Retención limitada
Los datos de ejecución caducan según un calendario que fija tu plan, y puedes eliminar archivos y credenciales cuando quieras.
Acceso según tus reglas
Decide quién de tu equipo puede acceder a Deck y desde dónde sale el tráfico de Deck.
SSO empresarialEnterprise
Inicia sesión con Okta, Microsoft Entra ID, Google Workspace o cualquier proveedor SAML u OIDC.
Directory SyncEnterprise
Añade y quita miembros desde tu proveedor de identidad mediante SCIM.
Roles
Los admins gestionan las claves de API, la facturación y la configuración. Los miembros se encargan del trabajo diario.
IP estáticasEnterprise
Ejecuta tareas desde un rango de IP fijo para fuentes que solo aceptan tráfico en su lista de permitidos.
Cómo gestionamos la seguridad
Nuestro equipo revisa la seguridad de forma continua, y evaluadores externos revisan nuestro trabajo.
Pruebas de penetración
Evaluadores externos ponen a prueba la plataforma cada año, y los hallazgos se siguen hasta que se corrigen.
Respuesta a incidentes
Un plan documentado para detectar, contener y reportar incidentes de seguridad.
Revisión de proveedores
Los subencargados se evalúan antes de tratar datos de clientes, y cada uno aparece en el Trust Center.
Divulgación responsable
¿Encontraste una vulnerabilidad? Consulta nuestro programa de divulgación.