Zopio diseña infraestructura financiera empresarial alrededor de límites de responsabilidad explícitos, acceso controlado, protección de datos, visibilidad operativa e independencia de proveedores. Esta página resume los principios que podemos publicar y cómo los clientes cualificados pueden revisar información adicional de arquitectura y seguridad durante el proceso de contratación.
Los sistemas se diseñan con límites de servicio claros, acceso controlado y principios de mínimo privilegio. Configuraciones y credenciales sensibles se mantienen fuera del código de aplicación y se gestionan mediante controles de infraestructura seguros. Seguridad, resiliencia, observabilidad y control de cambios se tratan como responsabilidades de infraestructura.
Zopio opera las capas tecnológicas y de aplicación incluidas en el servicio acordado. El cliente conserva la responsabilidad sobre los sistemas, usuarios, reglas de negocio y datos bajo su control; bancos, adquirentes, PSPs y otras instituciones financieras conservan la responsabilidad sobre los servicios regulados que prestan. El límite exacto depende de productos, integraciones, modelo de despliegue y alcance comercial y puede documentarse durante la incorporación o la revisión de seguridad.
Los sistemas de Zopio se estructuran alrededor de límites explícitos de autorización y mínimo privilegio. El acceso administrativo y operativo se limita a lo necesario para cada función. Cuando se procesan datos específicos de clientes, la separación de acceso y datos se define según el cliente, la cuenta y el contexto de autorización correspondiente; el modelo exacto de aislamiento puede revisarse para el alcance propuesto.
Buscamos minimizar los datos necesarios y protegerlos en tránsito y en reposo mediante mecanismos estándar de la infraestructura y proveedores utilizados. La retención depende del tipo de dato, finalidad, alcance contractual y ley aplicable. Las responsabilidades de cifrado y gestión de claves dependen del despliegue y de la configuración del servicio; no afirmamos modelos específicos de claves gestionadas por el cliente salvo que apliquen al despliegue correspondiente.
El registro, la monitorización, la visibilidad de errores y los cambios controlados forman parte de la preparación para producción. Los eventos de seguridad se gestionan mediante pasos definidos de evaluación inicial, contención, investigación, remediación y escalado. Las comunicaciones y obligaciones de notificación dependen de la naturaleza del incidente, el acuerdo aplicable y la normativa; no publicamos un plazo universal que pueda no aplicar a todos los despliegues.
Zopio utiliza proveedores seleccionados para capacidades como alojamiento, almacenamiento, comunicaciones y operaciones relacionadas con seguridad. Cada proveedor conserva responsabilidad sobre el servicio que opera y Zopio sobre cómo se selecciona, configura y utiliza dentro de su límite de servicio. Cuando sea relevante para un proceso de contratación o revisión de seguridad, las dependencias materiales pueden compartirse sujetas a confidencialidad y restricciones contractuales.
Zopio proporciona infraestructura tecnológica financiera y no mantiene, recibe ni liquida fondos de clientes. El procesamiento de pagos y la liquidación son realizados por bancos, adquirentes y proveedores de servicios de pago autorizados.
Los clientes cualificados pueden solicitar información adicional de seguridad y arquitectura durante el proceso de contratación o la revisión técnica. Según el alcance y disponibilidad, la revisión puede incluir arquitectura y límites de despliegue, responsabilidad compartida y flujos de datos, acceso y aislamiento entre clientes, cifrado y gestión de claves, retención y eliminación, registro y monitorización, gestión de incidentes, dependencias materiales y evidencia de seguridad independiente y verificada cuando corresponda. No todos los documentos aplican a todos los productos y cierta información puede requerir un NDA u otros controles de confidencialidad.
No publicamos certificaciones, permisos regulatorios, resultados de auditoría o declaraciones de cumplimiento que no hayan sido verificados independientemente y no sean aplicables al servicio o entidad correspondiente. Cuando exista evidencia independiente verificada y sea relevante para una revisión de cliente, podrá compartirse bajo controles de confidencialidad adecuados.
Para preguntas de seguridad, solicitudes de revisión de seguridad empresarial o divulgación responsable, utiliza el formulario de contacto.
