Fecha efectiva: Octubre 2025
WorkTime es un software de monitoreo de empleados con prioridad en la privacidad, no invasivo, confiado por organizaciones en todo el mundo.
Tomamos la seguridad en serio y estamos comprometidos a mantener la confidencialidad, integridad y disponibilidad de todos los datos de clientes y de la empresa.
Esta página describe los principios y prácticas fundamentales que guían nuestro programa de seguridad.
1. Propósito y alcance
Esta Política de Seguridad define cómo WorkTime protege sus sistemas, aplicaciones e información del cliente.
Se aplica a todos los empleados, contratistas y proveedores de servicios terceros que tengan acceso a los sistemas o datos de WorkTime.
2. Alcance
Este plan se aplica a todos los empleados de WorkTime, contratistas, sistemas, aplicaciones y servicios terceros involucrados en el procesamiento o almacenamiento de datos de la empresa o del cliente.
Cubre todos los incidentes relacionados con la seguridad de la información, privacidad de datos y continuidad del servicio.
3. Objetivos
Detección y contención rápida de incidentes de seguridad.
Evaluación precisa del alcance e impacto.
Comunicación oportuna con las partes interesadas y clientes afectados.
Remediación completa y documentación de las causas raíz.
Prevención de incidentes futuros a través de mejora continua.
4. Definición de Incidente
Un incidente de seguridad es cualquier evento que pueda comprometer los sistemas de información o datos de WorkTime, incluyendo pero no limitado a:
Acceso no autorizado o divulgación de datos.
Infección por malware o ransomware.
Ataques de denegación de servicio (DoS).
Pérdida o robo de equipo que contenga datos sensibles.
Mala configuración, corrupción de datos o eliminación accidental.
Incumplimiento de regulaciones de privacidad (RGPD, HIPAA, GLBA).
5. Ciclo de Vida de Respuesta a Incidentes
5.1 Identificación
Monitorear sistemas, registros y alertas para actividad inusual o sospechosa.
Recibir informes de empleados, clientes o proveedores terceros.
Clasificar el evento como un incidente sospechoso o confirmado basado en evidencia.
5.2 Contención
Aislar sistemas afectados para prevenir movimiento lateral.
Deshabilitar cuentas comprometidas o credenciales de acceso.
Preservar todos los registros relevantes y datos forenses.
5.3 Erradicación
Eliminar código malicioso, deshabilitar puertas traseras y parchear vulnerabilidades.
Validar que los sistemas estén limpios y seguros para restaurar.
5.4 Recuperación
Restaurar sistemas desde respaldos limpios.
Monitorear sistemas restaurados para reinfección o comportamiento anormal.
Verificar que las funciones de negocio estén de vuelta a la normalidad.
5.5 Notificación y Comunicación
Notificar a la gerencia ejecutiva inmediatamente después de la confirmación.
Para incidentes que involucren datos personales o de clientes, notificar a los clientes afectados dentro de los plazos legalmente requeridos.
Si aplica, notificar a los organismos reguladores (p. ej., bajo RGPD o reglas de incumplimiento de HIPAA).
Todas las comunicaciones son revisadas y aprobadas por el Oficial de Seguridad y Legal.
5.6 Lecciones Aprendidas
Realizar una revisión post-incidente dentro de 7 días hábiles de la resolución.
Documentar causa raíz, impacto y acciones correctivas.
Actualizar políticas, controles y entrenamiento según sea necesario.
7. Clasificación de Severidad
Los incidentes se clasifican como Críticos, Altos, Medios o Bajos basados en impacto y urgencia, con tiempos de respuesta desde inmediato hasta un día hábil.
8. Preservación de Evidencia
Todos los registros, alertas e imágenes de sistema relacionados con un incidente se preservan de manera segura por al menos un año.
El acceso a esta evidencia está restringido al Oficial de Seguridad e investigadores autorizados.
9. Canales de Comunicación
Informes internos a través del canal seguro de Slack #security-alerts y correo electrónico security@worktime.com.
Notificaciones a clientes a través de canales de comunicación oficiales de WorkTime y contactos de cuenta.
Comunicaciones externas solo a través del representante designado de PR o Legal.
10. Revisión y Pruebas
Este plan se revisa anualmente y después de cualquier incidente mayor.
Pruebas de mesa y simulaciones se realizan al menos una vez al año para validar la preparación.
11. Referencias de Cumplimiento
Este plan apoya el cumplimiento con:
SOC 2 Type II (Seguridad, Disponibilidad y Confidencialidad)
RGPD Artículo 33 (Notificación de Incumplimiento de Datos)
HIPAA 164.308(a)(6) (Procedimientos de Incidentes de Seguridad)
Regla de Salvaguardas GLBA
WorkTime — Primero en Privacidad, Seguro, Monitoreo de Empleados No Invasivo
Protegemos sus datos tan cuidadosamente como los nuestros.
