Centro Legal

Seguridad de la Información

Versión 1.0 · Vigente a partir del 15 de octubre de 2026 · Resumen público

Esta es una traducción. En caso de divergencia, prevalece la versión en portugués.

SecurityPag protege los datos de pago mediante tokenización en un entorno PCI DSS, cifrado, acceso mínimo necesario y monitoreo continuo. Este resumen describe los controles adoptados y lo que esperamos de los Usuarios. La política completa es interna y se revisa al menos una vez al año.

1. Referencias

El programa sigue el PCI DSS versión 4.0.1, el art. 46 de la LGPD, la Resolución CD/ANPD n.º 15/2024 sobre incidentes y los requisitos de seguridad de las Marcas de Tarjeta y de las Instituciones Asociadas. Las normas ISO/IEC 27001 y 27701 y OWASP se utilizan como referencia de buenas prácticas.

Situación PCI DSS: SecurityPag cumple con el PCI DSS en el Nivel 1, validado anualmente mediante Informe de Cumplimiento (ROC) y Atestación de Cumplimiento (AOC), y realiza una prueba de intrusión anual.

2. Gobernanza

• Responsable de seguridad de la información: Área de Compliance, con el equipo de seguridad (security@securitypag.com).
• Políticas aprobadas por la dirección y revisadas anualmente.
• Clasificación de la información e inventario de activos y de datos personales.
• Gestión de riesgos de seguridad con plan de acción supervisado por la dirección.

3. Protección de los datos de pago

• Los datos de tarjeta se capturan únicamente por el Checkout o por el tokenizador y se sustituyen por un token. El código de seguridad de la tarjeta nunca se almacena después de la autorización.
• Tráfico protegido por TLS 1.2 o superior; datos sensibles en reposo cifrados con AES-256 y claves gestionadas en un módulo seguro o servicio de gestión de claves.
• Entorno de datos de tarjeta segmentado del resto de la red.
• Autenticación 3-D Secure 2 y billeteras digitales tokenizadas.

4. Control de acceso

• Acceso concedido según el mínimo necesario y revisado periódicamente.
• Autenticación multifactor para colaboradores y para operaciones sensibles de los Usuarios.
• Entornos de prueba y de producción separados, con claves de API distintas.
• Registro de accesos y de acciones administrativas, conservado conforme a la ley.

5. Desarrollo seguro

• Revisión de código y análisis estático y dinámico en el ciclo de desarrollo.
• Prueba de intrusión por una empresa independiente al menos una vez al año y después de cambios relevantes.
• Corrección de vulnerabilidades en plazos según la criticidad: las críticas en hasta 7 días, las altas en hasta 30 días.
• Control de scripts en el Checkout, exigido por el PCI DSS 4.0.1, para impedir código malicioso en la página de pago.

6. Monitoreo y respuesta a incidentes

• Monitoreo las 24 horas con alertas ante comportamientos anómalos.
• Plan de respuesta a incidentes probado al menos una vez al año.
• Los incidentes que puedan generar riesgo o daño relevante a los titulares se comunican a la ANPD y a los titulares en hasta 3 días hábiles, conforme a la Resolución CD/ANPD n.º 15/2024, y a las Instituciones Asociadas, a las Marcas de Tarjeta y al Banco Central cuando sea exigido.
• Los incidentes que afecten el servicio se informan en https://securitypag.com.

7. Continuidad

• Infraestructura redundante en más de una zona de disponibilidad.
• Copias de seguridad cifradas y probadas periódicamente.
• Plan de continuidad con prueba anual. Los objetivos de tiempo de recuperación y de pérdida máxima de datos de los sistemas de pago se definen en el plan y se revisan en cada prueba.

8. Proveedores

Los proveedores con acceso a datos o sistemas pasan por una evaluación de seguridad antes de su contratación y por una revisión periódica. Los contratos incluyen cláusulas de confidencialidad, protección de datos, comunicación de incidentes y derecho de auditoría.

9. Personas

Los colaboradores firman un acuerdo de confidencialidad, pasan por una verificación de antecedentes compatible con su función y reciben capacitación anual en seguridad y en prevención de estafas.

10. Antifraude

Cada Transacción pasa por un análisis de riesgo en tiempo real, con identificación de dispositivo, reglas de velocidad, listas de restricción y modelos estadísticos. La Plataforma detecta y bloquea pruebas masivas de tarjetas.

11. Qué esperamos de los Usuarios

• Activar la autenticación en dos factores y no compartir las Credenciales.
• Guardar las claves de API en una bóveda segura y sustituirlas si hay sospecha de exposición.
• Validar la firma de los webhooks antes de liberar productos.
• Mantener actualizados los plugins, las tiendas y los servidores.
• Usar el tokenizador o el Checkout para las tarjetas; quien transmita datos de tarjeta en claro necesita certificación PCI DSS propia.

12. Divulgación responsable de vulnerabilidades

12.1. ¿Encontró una vulnerabilidad? Envíe los detalles a security@securitypag.com. Confirmamos la recepción en hasta 2 días hábiles e informamos sobre el avance.

12.2. No tomaremos medidas legales contra quien actúe de buena fe, sin acceder a datos más allá del mínimo necesario para demostrar el problema, sin degradar el servicio, sin ingeniería social y sin divulgar antes de la corrección.

13. Estafas en nombre de SecurityPag

SecurityPag nunca solicita contraseña, código de verificación ni clave de API, ni exige pago para liberar saldo. Nuestros canales oficiales constan en la Cláusula 27 de los Términos de Uso. Los mensajes sospechosos pueden reenviarse a security@securitypag.com.

Otros documentos del Centro Legal