Seguridad

Cómo manejamos tus documentos

SatGo actúa como intermediario de tránsito entre tu sistema y el portal gubernamental correspondiente (SAT, IMSS, REPSE, entre otros). El manejo del documento depende del flujo:

Bring Your Own Key (BYOK) — Credenciales en tu infraestructura

Para clientes del plan Empresarial, SatGo ofrece un modelo donde las credenciales de acceso al SAT (CIEC) nunca salen de tu propia infraestructura. En lugar de enviarnos tus credenciales, las almacenas en tu propio Azure Key Vault y le asignas a un Enterprise Application de SatGo el rol de Azure RBAC "Key Vault Secrets User" (para la CIEC) o "Key Vault Crypto User" (para la llave de la e.firma, que SatGo usa para firmar remotamente sin extraerla nunca de tu Key Vault).

e.firma — Tú eliges cómo se maneja tu llave

Para operaciones que requieren e.firma (firma electrónica avanzada del SAT), tú decides cuál de estas tres modalidades usar. La responsabilidad de cada una se detalla en la Cláusula 8 de los Términos de Servicio:

• Transmisión directa: envías tu e.firma a SatGo; se usa únicamente en memoria durante la operación y no se persiste al concluir. Es la opción más simple y la decides tú. Opcionalmente puedes cifrarla en tu propio dispositivo antes de enviarla (ver el recuadro abajo), de modo que SatGo nunca la reciba en claro.
• Key Vault propio (BYOK): la llave privada (.key) nunca sale de tu infraestructura; con el rol de Azure RBAC "Key Vault Crypto User", SatGo la usa para firmar remotamente sin extraerla ni almacenarla. Tú controlas y revocas el acceso.
• Key Vault administrado por SatGo: a solicitud tuya, SatGo custodia tu e.firma cifrada en un Azure Key Vault administrado por SatGo, para no tener que reenviarla cada vez. Puedes pedir su eliminación en cualquier momento.

Cifrado de la e.firma en tu dispositivo (opcional)

Como capa adicional para la modalidad de transmisión directa, puedes cifrar la llave privada (.key/.pfx) y su contraseña en tu propio navegador o sistema antes de enviarlas, usando el estándar abierto JWE (RSA-OAEP-256 + A256GCM) con una llave pública que publica SatGo. Así, la e.firma viaja siempre cifrada y SatGo solo la descifra en memoria, en el instante de usarla, con una llave privada que reside en su Azure Key Vault. El certificado .cer es público y va en claro.

Cómo fluyen tus datos

Paso a paso

1. 1Tu sistema llama a nuestra API enviando el RFC y el tipo de documento solicitado, autenticado con tu API key, sobre una conexión TLS 1.3.
2. 2SatGo recibe la solicitud en memoria y valida tu API key y los permisos del RFC solicitado.
3. 3SatGo llama al portal gubernamental correspondiente utilizando las credenciales en memoria (nunca escritas a disco), sobre TLS.
4. 4El portal responde con el documento, que SatGo mantiene en RAM.
5. 5SatGo entrega el documento directamente a tu sistema via stream, sin escribirlo a ningún sistema de almacenamiento.
6. 6El dato es descartado de RAM al terminar el request. No queda ninguna copia en nuestros sistemas.

¿Qué SÍ almacenamos?

Solo lo estrictamente necesario para operar el servicio:

¿Qué NO almacenamos?

• El contenido de los documentos descargados mediante la API de forma individual (uso síncrono): no se persisten en ningún almacenamiento, conforme a la sección anterior
• Credenciales del SAT (CIEC, e.firma), salvo cuando eliges expresamente la modalidad de Key Vault administrado por SatGo, en cuyo caso las custodiamos cifradas hasta que solicites su eliminación

El manejo de tus credenciales del SAT depende de la modalidad que elijas (transmisión directa, Key Vault propio o Key Vault administrado por SatGo). Ver el detalle y la responsabilidad de cada una en la Cláusula 8 de los Términos de Servicio.

Controles de seguridad

Cumplimiento legal

Proveedores y subencargados

SatGo utiliza los siguientes proveedores para la prestación del servicio. La lista completa, con la categoría de datos a la que accede cada uno y el detalle de transferencias internacionales, se publica en sat-go.com/subprocesadores:

Acuerdo de Tratamiento de Datos y evaluación de proveedor

DPA (Acuerdo de Tratamiento de Datos)

Todo Cliente que administre RFC de terceros puede solicitar la suscripción de un Data Processing Agreement (DPA), con independencia del plan contratado (Cláusula 17.2 de los Términos de Servicio), que formalizará:

• Las categorías de datos tratados y la base legal
• Los subencargados autorizados
• El compromiso de notificación de incidentes en 72 horas
• Los derechos de auditoría anual
• Los procedimientos de eliminación de datos al término del servicio

Para más información sobre el estatus del DPA: legal@sat-go.com

Cuestionario de seguridad

Podemos apoyar tu proceso de evaluación de proveedor (vendor security review) respondiendo cuestionarios de seguridad bajo NDA. Escríbenos a security@sat-go.com

Reporte de vulnerabilidades

Si encuentras una vulnerabilidad de seguridad en nuestros sistemas, te pedimos reportarla de forma responsable antes de divulgarla públicamente:

Nos comprometemos a:

• Confirmar la recepción en 48 horas hábiles
• Mantener comunicación contigo durante la investigación
• Notificarte cuando el hallazgo sea resuelto
• Reconocer tu contribución (si lo deseas) en nuestro hall de agradecimientos

No iniciaremos acciones legales contra investigadores de seguridad que actúen de buena fe conforme a estas directrices.

Contacto de seguridad