Nuestro enfoque
Moonbrush Inc. (“Moonbrush”, “nosotros”, “nos” o “nuestro”) maneja información obtenida bajo licencia sobre adultos en Estados Unidos y datos que nuestros clientes nos confían. La protegemos con un programa escrito de seguridad de la información compuesto por salvaguardas administrativas, técnicas y físicas, y describimos ese programa solo en la medida en que podemos respaldarlo con evidencia.
Cumplimiento y aseguramiento
| Marco | Estado |
|---|---|
| SOC 2 Tipo I | Informe disponible para clientes y clientes potenciales bajo acuerdo de confidencialidad |
| SOC 2 Tipo II | Periodo de observación en curso. Informe previsto para 2027 |
| NIST Cybersecurity Framework 2.0 | Controles mapeados en las seis funciones |
| ISO/IEC 27001:2022 | Controles alineados y autoevaluados. No contamos con la certificación ISO 27001 |
| HIPAA | No incorporamos información de salud protegida en nuestros servicios estándar. Hay una evaluación de preparación para HIPAA en curso |
| CCPA y leyes estatales de privacidad de Estados Unidos | Programa de derechos del consumidor para el acceso, la eliminación, la corrección y la exclusión voluntaria de la venta y el uso compartido. Se respeta Global Privacy Control. Consulte nuestro Aviso de privacidad |
Protección de datos
- Cifrado. Los datos se cifran en tránsito y en reposo: AES-256 en reposo en toda nuestra plataforma de datos y nuestro almacenamiento de objetos, y TLS 1.2 o superior para las conexiones en tránsito. Las claves se administran y se rotan.
- Entrega con hash. Los identificadores de las entregas de audiencias se procesan con hash mediante SHA-256. En la entrega estándar, la información personal sin procesar no sale de nuestro entorno.
- Alojamiento en Estados Unidos. Nuestra plataforma de datos opera en regiones de nube de Estados Unidos.
- Redes privadas. El almacenamiento y el cómputo usan redes privadas. Nuestras bases de datos no tienen puntos de conexión públicos y solo se permite el acceso a servicios autenticados.
Control de acceso
- Inicio de sesión único y autenticación multifactor en Google Workspace, Databricks, Amazon Web Services y GitHub.
- Mínimo privilegio. El acceso se basa en roles y se limita a lo que requiere el trabajo de cada persona. Revisamos los accesos cada trimestre.
- El acceso a producción está limitado a nuestra dirección técnica y a nuestro equipo de ingeniería, y queda registrado.
- Personas. El personal con acceso a producción o a datos de clientes se somete a una verificación de antecedentes en la medida en que la ley lo permite, y todas las personas que trabajan con nosotros están sujetas a términos de confidencialidad.
Aislamiento de los datos de clientes
- Instancias aisladas por cliente. Los datos de cada cliente se conservan en su propia instancia de acceso restringido. Los datos de un cliente nunca se divulgan a otro y nunca se usan para entrenar modelos compartidos con otros clientes.
- Límites de registros. Cada organización cliente tiene un límite en la cantidad de registros que puede procesar en cada ciclo.
- Conservación. Los datos de los clientes se conservan durante la vigencia del contrato del cliente más 90 días, salvo que el cliente indique otra cosa. Los eliminamos a solicitud y podemos proporcionar un certificado de eliminación.
Monitoreo y gestión de vulnerabilidades
- Registro de auditoría y alertas en la nube en todo nuestro entorno.
- Monitoreo continuo de controles mediante Vanta.
- Análisis de dependencias de nuestro código.
- Una prueba de penetración formal como parte de nuestro programa SOC 2 Type II, con seguimiento de los hallazgos hasta su cierre.
Respuesta a incidentes
- Mantenemos un plan escrito de respuesta a incidentes con niveles de severidad definidos.
- Nos comprometemos a notificar a los clientes afectados dentro de las 72 horas siguientes a la confirmación de un incidente de seguridad que afecte sus datos.
- A la fecha, no hemos tenido incidentes de seguridad ni vulneraciones de datos.
Resiliencia
Nuestros datos se respaldan con copias de seguridad administradas. Reconstruimos nuestro grafo de consumidores cada mes, lo que también pone a prueba nuestra capacidad de restaurar la plataforma a partir de las fuentes.
Proveedores
Revisamos a los proveedores y subencargados como parte de nuestro programa de seguridad. Nuestra página Subencargados enumera los proveedores que tratan datos en nuestro nombre.
Documentación de seguridad para clientes
Los clientes y clientes potenciales pueden solicitar, bajo un acuerdo de confidencialidad, nuestro informe SOC 2 Type I, un cuestionario de seguridad completado y nuestra lista actual de subencargados. Pídalos a su contacto en Moonbrush o escriba a security@moonbrush.com.
Reportar una vulnerabilidad
Si cree haber encontrado una vulnerabilidad de seguridad en moonbrush.com o en cualquier sistema de Moonbrush, escriba a security@moonbrush.com. Incluya suficientes detalles para que podamos reproducir el problema.
Mientras investigamos, por favor:
- no acceda a datos que no le pertenezcan ni los modifique o elimine;
- no interrumpa nuestros servicios ni degrade su funcionamiento para otros; y
- denos una oportunidad razonable de corregir el problema antes de divulgarlo a cualquier otra persona.
Cualquier prueba que vaya más allá de lo necesario para confirmar un problema requiere nuestro permiso previo por escrito. Agradecemos los reportes hechos de buena fe.
Contáctenos
Seguridad: security@moonbrush.com
Privacidad: privacy@moonbrush.com
Moonbrush Inc.
5830 E 2nd Street, Suite 7000
Casper, Wyoming 82609, Estados Unidos
Idioma. Este documento está redactado en inglés. Las traducciones se ofrecen para su comodidad. Si una traducción difiere de la versión en inglés, prevalecerá la versión en inglés, salvo que la ley disponga otra cosa.