Seguridad de datos
Seguridad de datos en mTrip
La seguridad de datos en mTrip abarca el alojamiento en Amazon Web Services, el acceso controlado, el cifrado, las copias de seguridad, los pagos con tarjeta y la eliminación de datos. Una firma independiente prueba la plataforma y las apps móviles al menos una vez al año, y mTrip revisa sus políticas de seguridad al menos una vez al año.
Certificación Cyber Essentials
Válida hasta el 30 de octubre de 2027. Ver el certificado
Trust Center
Clientes: encuentra nuestros documentos de seguridad en el Trust Center
El Trust Center de mTrip es el espacio para los clientes de mTrip. Reúne las políticas y los documentos de seguridad de mTrip, así que empieza por ahí si estás completando una revisión de proveedores.
Certificación
Certificación Cyber Essentials
mTrip Inc cuenta con el certificado Cyber Essentials, un programa respaldado por el Gobierno del Reino Unido para protegerse frente a los ciberataques más habituales. El IASME Consortium certificó a mTrip el 30 de octubre de 2026 y el certificado es válido hasta el 30 de octubre de 2027. Abarca toda la organización. Este nivel de Cyber Essentials es de autoevaluación.
Lo esencial
Seguridad de datos en cuatro puntos
Alojado en AWS, sin acceso del personal a los servidores
Los clientes europeos se alojan en Fráncfort, con los archivos subidos en Londres. Los demás clientes se alojan en Virginia del Norte. El personal de mTrip no tiene acceso físico a la infraestructura.
Cifrado en tránsito y en reposo
El tráfico usa TLS 1.2 o superior. Las bases de datos, el almacenamiento de archivos y las copias de seguridad se cifran con AES-256, y la aplicación cifra además los campos más sensibles de los viajeros.
Copias diarias, con restauración probada cada año
Se hace una copia de seguridad diaria de las bases de datos de producción, con recuperación a un momento dado durante 7 días. Las copias se replican en una segunda región de AWS y están protegidas contra el borrado.
Pruebas anuales de una firma independiente
Una firma independiente prueba la plataforma y las apps móviles al menos una vez al año, y mTrip revisa sus políticas de seguridad al menos una vez al año.
Defensa en profundidad
Capas de protección, del perímetro a la copia de seguridad
Infraestructura
Seguridad de datos: alojamiento y copias de seguridad
Alojamiento
Alojado en Amazon Web Services
AWS · Fráncfort · Londres · Virginia del Norte
- La plataforma de mTrip funciona sobre Amazon Web Services (AWS).
- Los clientes europeos se alojan en Fráncfort (Alemania) y sus archivos subidos se almacenan en Londres (Reino Unido).
- Los demás clientes se alojan en Virginia del Norte (Estados Unidos).
- AWS cuenta con las certificaciones SOC 1, SOC 2, SOC 3, ISO 27001 y PCI DSS (consulta el cumplimiento normativo de AWS).
- Esas certificaciones pertenecen a AWS. El personal de mTrip no tiene acceso físico a la infraestructura.
Copias de seguridad
Copias de seguridad cifradas a diario, probadas cada año
Diarias · Recuperación de 7 días · Segunda región de AWS
- mTrip hace una copia de seguridad diaria de las bases de datos de producción, con recuperación a un momento dado dentro de los últimos 7 días.
- Cifra las copias, las replica en una segunda región de AWS y las protege contra el borrado.
- Se prueba una restauración al menos una vez al año.
Acceso
Acceso, inicio de sesión y cifrado
Acceso
Acceso controlado y monitorización
SSO · MFA · Firewall de aplicaciones web
- El acceso a producción se realiza mediante inicio de sesión único con autenticación multifactor, y mTrip registra todas las acciones administrativas.
- El tráfico público pasa por un firewall de aplicaciones web con limitación de solicitudes y reglas contra ataques comunes.
- La detección de amenazas funciona de forma continua en la cuenta de producción.
Inicio de sesión
Inicio de sesión de administradores y contraseñas
bcrypt · Limitación de intentos · Bloqueo tras 5 intentos
- Las cuentas de administrador de la plataforma web de mTrip inician sesión con un código de un solo uso enviado por correo electrónico o mediante el inicio de sesión único del propio cliente. mTrip almacena las contraseñas con hash bcrypt, limita los intentos de inicio de sesión y bloquea la cuenta tras 5 intentos fallidos.
Cifrado
Cifrado en tránsito y en reposo
TLS 1.2+ · AES-256 · Por campo
- El tráfico hacia la plataforma web de mTrip y sus API utiliza TLS 1.2 o superior. mTrip cifra con AES-256 las bases de datos, el almacenamiento de archivos y las copias de seguridad en reposo.
- Además, la aplicación cifra los campos más sensibles de los viajeros, como el correo electrónico, el número de teléfono, la fecha de nacimiento y las referencias de reserva.
Personas
Personas, dispositivos y revisiones de acceso
Personas
Concienciación y confidencialidad del personal
Política firmada
- Los empleados firman la política de ciberseguridad de mTrip.
- Abarca los datos confidenciales, los datos de clientes, los dispositivos personales, la seguridad del correo electrónico, las contraseñas y las transferencias de datos.
- Quien tenga acceso a los sistemas de mTrip la cumple, incluidos proveedores y partners, y su incumplimiento conlleva medidas disciplinarias.
Dispositivos
Seguridad de los dispositivos
Firewall de macOS · Protección antimalware · Bloqueo a los 15 minutos
- El personal de mTrip trabaja con portátiles Mac.
- El firewall de macOS está activado, la protección antimalware integrada de Apple (XProtect y Gatekeeper) está activada y todos los dispositivos se bloquean con contraseña tras 15 minutos de inactividad como máximo.
Control de acceso
Acceso basado en roles y revisiones de acceso
Mínimo privilegio · Revisiones cada 6 meses · Revisión de administradores dos veces al año
- mTrip concede los accesos según el principio de mínimo privilegio.
- IT y el responsable de quien lo solicita aprueban cada solicitud de acceso, y cada cuenta es individual, con sus propias credenciales.
- El acceso se revoca cuando una persona deja la empresa, y mTrip revisa los accesos al menos cada seis meses.
- Las cuentas de administrador se revisan dos veces al año, y los administradores usan una cuenta distinta para las tareas administrativas.
- La autenticación multifactor es obligatoria para todos los usuarios de los servicios en la nube de mTrip (Google Workspace, AWS, Asana y Pipedrive).
Garantías
Pruebas, lanzamientos y respuesta a incidentes
Garantías
Pruebas independientes y revisión de políticas
Firma independiente · Al menos una vez al año
- Una firma independiente prueba la plataforma y las apps móviles al menos una vez al año. mTrip revisa sus políticas de seguridad al menos una vez al año.
Seguridad de los lanzamientos
Análisis de vulnerabilidades antes del lanzamiento
OWASP Testing Guide · OWASP Top Ten
- La política de seguridad de aplicaciones web de mTrip exige una evaluación de seguridad, basada en la OWASP Testing Guide, antes de publicar una versión nueva o importante.
- Las versiones menores pasan, como mínimo, un análisis automatizado de los riesgos del OWASP Top Ten. mTrip corrige de inmediato los hallazgos de riesgo alto, o limita la exposición antes del lanzamiento, y programa los de riesgo medio.
Gestión de cambios
Desarrollo seguro y gestión de cambios
Control de cambios · Terraform · CI/CD
- Los cambios siguen un proceso documentado de control de cambios y control de versiones. mTrip define su infraestructura como código con Terraform, y la aplicación se ejecuta en contenedores que mTrip reconstruye y vuelve a desplegar mediante un pipeline de CI/CD en cada lanzamiento.
Respuesta a incidentes
Respuesta a incidentes y cómo notificar uno
Equipo de respuesta · Procedimiento por escrito
- mTrip cuenta con un procedimiento escrito de gestión y respuesta a incidentes, y con un equipo de respuesta a incidentes.
- Incluye la notificación, la contención, la recopilación de pruebas, la recuperación y una revisión posterior.
- Para notificar un posible incidente de seguridad, escribe a [email protected].
- El mensaje avisa al equipo de soporte y queda como primer registro del incidente.
- Cuando un incidente afecta a los clientes, mTrip se lo comunica.
Datos
Continuidad, eliminación de datos y pagos con tarjeta
Continuidad
Continuidad del negocio y recuperación ante desastres
Plan de continuidad · Plan de recuperación
- mTrip mantiene un plan de continuidad del negocio y un plan de recuperación ante desastres.
- Todo el equipo trabaja en remoto, por lo que no hace falta trasladar ninguna oficina, y los sistemas críticos de mTrip funcionan en la nube.
Eliminación de datos
Eliminación de datos al terminar un contrato
Procedimiento de baja del cliente
- Cuando termina un contrato, mTrip elimina los datos del cliente conforme a su procedimiento de baja de clientes.
Pagos con tarjeta
Los pagos con tarjeta quedan en manos de un proveedor PCI DSS
PCI Booking · Conferma · Solo token
- Los números de tarjeta se introducen directamente en el formulario seguro de PCI Booking, un proveedor con certificación PCI DSS. mTrip solo conserva un token y el número de tarjeta enmascarado (primeros seis y últimos cuatro dígitos).
- mTrip nunca almacena los números completos de tarjeta ni los códigos de seguridad.
- Las tarjetas virtuales emitidas a través de Conferma pueden mostrarse a los viajeros en la app.
- Conferma entrega las imágenes de las tarjetas y mTrip no almacena los datos de la tarjeta.
Preguntas habituales de los equipos de seguridad
Preguntas frecuentes
Alojamiento y certificación
¿Qué hace mTrip para proteger los datos?
mTrip aloja la plataforma en Amazon Web Services, cifra el tráfico y los datos almacenados, controla y registra el acceso administrativo, realiza copias de seguridad diarias de las bases de datos de producción y deja los números de tarjeta en manos de un proveedor con certificación PCI DSS. Una firma independiente prueba la plataforma y las apps móviles al menos una vez al año.
¿Dónde aloja mTrip los datos de los clientes?
En Amazon Web Services. Los clientes europeos se alojan en Fráncfort (Alemania) y los archivos subidos se almacenan en Londres (Reino Unido). El resto de los clientes se aloja en Virginia del Norte (Estados Unidos).
¿Qué certificaciones se aplican?
mTrip Inc cuenta con el certificado Cyber Essentials, emitido por el IASME Consortium el 30 de octubre de 2026 y válido hasta el 30 de octubre de 2027, que abarca toda la organización (autoevaluación). AWS cuenta con las certificaciones SOC 1, SOC 2, SOC 3, ISO 27001 y PCI DSS para la infraestructura en la que funciona mTrip. PCI Booking, proveedor con certificación PCI DSS, gestiona los números de tarjeta. En el Trust Center, los clientes de mTrip encuentran las políticas y los documentos de seguridad de mTrip.
Protección de datos
¿Se cifran los datos?
Sí. El tráfico hacia la plataforma y sus API usa TLS 1.2 o superior. mTrip cifra con AES-256 las bases de datos, el almacenamiento de archivos y las copias de seguridad en reposo, y la aplicación cifra además la dirección de correo electrónico, el número de teléfono, la fecha de nacimiento y las referencias de reserva.
¿Almacena mTrip los números de tarjeta de crédito?
No. Los números de tarjeta se introducen directamente en el formulario seguro de PCI Booking, proveedor con certificación PCI DSS. mTrip solo conserva un token y el número de tarjeta enmascarado, y nunca almacena los números completos ni los códigos de seguridad.
¿Con qué frecuencia se hacen copias de seguridad y se prueban las restauraciones?
mTrip realiza copias de seguridad diarias de las bases de datos de producción, con recuperación a un momento concreto dentro de los últimos 7 días. Las copias se cifran, se replican en una segunda región de AWS y están protegidas contra el borrado. mTrip prueba una restauración al menos una vez al año.
¿Qué ocurre con nuestros datos cuando termina el contrato?
mTrip elimina los datos del cliente conforme a su procedimiento de baja de clientes.
Acceso, pruebas y respuesta
¿Cómo inician sesión los administradores en la plataforma web de mTrip?
Con un código de un solo uso enviado por correo electrónico o mediante el inicio de sesión único (SSO) del propio cliente. mTrip bloquea la cuenta tras 5 intentos fallidos de inicio de sesión.
¿Una firma independiente prueba mTrip?
Sí. Una firma independiente prueba la plataforma y las apps móviles al menos una vez al año, y mTrip revisa sus políticas de seguridad al menos una vez al año.
¿Cómo notifico un incidente de seguridad a mTrip?
Escribe a [email protected]. El mensaje avisa al equipo de soporte y queda como primer registro del incidente.
¿Tiene mTrip un plan de respuesta a incidentes y un plan de recuperación ante desastres?
Sí. mTrip dispone de un procedimiento escrito de gestión y respuesta a incidentes, con un equipo de respuesta, además de un plan de continuidad del negocio y un plan de recuperación ante desastres.
Revisa los detalles y habla con el equipo
El Trust Center es para los clientes de mTrip y reúne las políticas y los documentos de seguridad de mTrip. Para cualquier otra consulta, pregunta durante una demo. Consulta también la política de privacidad.