D7 · Terceros
Este documento lista los terceros que intervienen en Bolívar Connect y define cómo se evalúan antes de integrarlos y durante la relación.
1. Registro de terceros
Sección titulada «1. Registro de terceros»| Categoría | Función | Datos que recibe | Criticidad |
|---|---|---|---|
| Nube (AWS) | Cómputo, almacenamiento, cifrado y gestión de secretos | Todos los de la plataforma (alojamiento cifrado) | Alta |
| Entidad financiera regulada en Venezuela | Custodia de fondos y ejecución del pago móvil o la transferencia | Nombre, cédula, banco, cuenta o teléfono, y monto | Alta |
| Correo transaccional | Envío de los correos de alta y acceso de clientes | Correo de contacto del cliente | Media |
| Repositorio de código | Control de versiones | Ninguno de clientes ni de beneficiarios | Media |
| DNS | Resolución del dominio | Ninguno | Baja |
2. Evaluación antes de integrar
Sección titulada «2. Evaluación antes de integrar»Todo tercero nuevo se evalúa con estos criterios, y el resultado queda registrado:
| Criterio | Qué se verifica |
|---|---|
| Certificaciones | ISO 27001, SOC 2 o PCI-DSS vigentes, o regulación equivalente en su sector |
| Cifrado | TLS 1.2 o superior en su API; cifrado en reposo de los datos que recibe |
| Autenticación | Credenciales por cliente, rotables; firma de los webhooks que envía |
| Datos | Qué datos personales necesita, dónde los aloja y cuánto tiempo los conserva |
| Contrato | Confidencialidad, protección de datos, aviso de incidentes y subprocesadores propios |
| Continuidad | Disponibilidad comprometida y canal de soporte |
Un tercero de criticidad alta no se integra si no cumple todos los criterios. Uno de criticidad media o baja puede integrarse con mitigantes aprobados por el Responsable de seguridad.
3. Controles técnicos sobre cada integración
Sección titulada «3. Controles técnicos sobre cada integración»Son independientes del tercero:
- solo se le envían los datos imprescindibles para su función;
- sus credenciales viven en AWS Secrets Manager y se rotan ante cualquier sospecha;
- sus webhooks se verifican por firma y timestamp, y se deduplican;
- un circuit breaker lo saca de servicio si falla;
- sus resultados se concilian contra el registro de la plataforma.
4. Seguimiento
Sección titulada «4. Seguimiento»- Revisión anual de cada tercero de criticidad alta y media: vigencia de las certificaciones, incidentes del año y cambios en sus subprocesadores.
- Revisión por evento: ante un incidente del tercero o un cambio relevante en su servicio.
- Baja de un tercero: revocación de sus credenciales y confirmación de la devolución o eliminación de los datos que recibió.