Entrar

Legal

Política de Seguridad

Cómo protegemos tu información, la de tu equipo y la de tus clientes finales con estándares de la industria.

Última actualización: Abril 2026

1. Introducción

En LavaPass entendemos que estás confiándonos información operativa y financiera crítica para tu negocio. Esta Política de Seguridad describe las medidas técnicas y organizativas que implementamos para proteger esa confianza.

Infraestructura Google Cloud

Hosting en GCP región us-east4 con SOC 2 Type II e ISO 27001.

Encriptación AES-256 + TLS 1.3

Datos cifrados en reposo y en tránsito sin excepciones.

Roles granulares + 2FA

Control fino de quién hace qué, con autenticación segura.

PCI DSS Nivel 1

Nunca almacenamos números de tarjeta — sólo pasarelas certificadas.

2. Alcance

Esta política aplica rigurosamente a:

  • Todos los sistemas tecnológicos de Lavapass.
  • La transmisión de datos entre cliente y servidor.
  • Las integraciones con pasarelas de pago.
  • Los Usuarios Comerciales operando la plataforma.
  • El procesamiento indirecto de pagos.

3. Modelo de Seguridad Compartida

  • Procesador de pago (ej. Azul): Responsable absoluto de la captura y procesamiento seguro de tarjetas (PCI-DSS).
  • Lavapass: Responsable de la seguridad de la aplicación web, de la base de datos de usuarios, la infraestructura de backend y el cifrado de canales de comunicación.
  • Usuario Comercial (Car Wash): Responsable de mantener dispositivos limpios de malware, gestionar credenciales fuertes para sus empleados y hacer un uso adecuado del sistema.

4. Datos de Tarjeta y Principio de Cero Almacenamiento

Para garantizar tu tranquilidad, la plataforma de Lavapass bajo ninguna circunstancia:

  • NO Almacena números completos de tarjeta (PAN).
  • NO Almacena códigos de seguridad (CVV/CVC).
  • NO Almacena fechas de expiración completas de manera aislada que permita cobros.
  • NO Guarda datos sensibles de autenticación bancaria.

En su lugar, cualquier dato transaccional es Tokenizado, procesado directamente por el proveedor externo certificado, y transmitido de forma cifrada sin pasar por nuestros discos de almacenamiento persistente.

5. Transmisión Segura de Datos

Toda la transmisión de datos, sea operativa o financiera, se realiza bajo estándares modernos de seguridad:

  • Cifrado en tránsito: Uso obligatorio de HTTPS (TLS 1.2 o superior) con certificados válidos para evitar ataques Man-in-the-Middle (MITM).
  • Tokenización: Sustitución de datos sensibles por tokens (cadenas de texto generadas aleatoriamente) que carecen de valor o riesgo si son extraídos fuera del sistema del procesador.
  • Canales seguros: APIs protegidas, validación de integridad (HMAC) y mitigación activa de ataques de denegación de servicio (DDoS).
Verificacion VIVerificacion MC

6. Controles de Seguridad Activos

  • Seguridad de Red: Implementación de firewalls web (WAF) y segmentación profunda de red para proteger los microservicios contra tráfico anómalo o malicioso.
  • Autenticación y Autorización: Control de Acceso Basado en Roles (RBAC), impidiendo que un cajero acceda a información gerencial. Tokens de sesión seguros que expiran automáticamente.
  • Monitoreo (Logging): Registro continuo y retención de eventos críticos, lo que permite detectar y auditar cualquier actividad sospechosa (login fallido, borrado masivo de datos).
  • Vulnerabilidades: Escaneo automatizado de vulnerabilidades en el código, parches continuos y protección contra el OWASP Top 10 (SQL Injection, XSS, CSRF, etc.).

7. Prohibiciones Estrictas para los Usuarios

Como Usuario Comercial, te comprometes terminantemente a NO:

  • Solicitar o recopilar datos de tarjeta en papel, cuadernos o medios inseguros.
  • Compartir credenciales administrativas por email, SMS o WhatsApp.
  • Utilizar dispositivos compartidos, públicos o sin contraseña (ej. cibercafés) para labores gerenciales.
  • Intentar eludir las medidas tecnológicas, interceptar API endpoints o manipular transacciones.

El incumplimiento de estas normas de seguridad puede resultar en la suspensión inmediata o terminación de tu cuenta para proteger el ecosistema general.

8. Gestión de Incidentes de Seguridad

Si detectamos un compromiso potencial de seguridad, ejecutaremos un protocolo de respuesta inmediata que incluye:

  • Bloqueo cautelar de los accesos o IPs comprometidas.
  • Aislamiento temporal de los sistemas afectados.
  • Notificación transparente a los Usuarios Comerciales en riesgo, con indicaciones precisas.
  • Colaboración activa con los proveedores cloud y/o autoridades pertinentes para mitigar el ataque.

9. Legislación y Contacto

Lavapass cumple con las mejores prácticas de ciberseguridad corporativas y con el marco normativo de la República Dominicana aplicable a la protección de datos y comercio electrónico.

Si detectas una posible vulnerabilidad o tienes un reporte urgente de seguridad, por favor contáctanos de inmediato en:

¿Reportar una vulnerabilidad? Escríbenos a info@lavapass.app — respondemos en menos de 24 horas. Para temas legales consulta Política de Privacidad y Términos y Condiciones.

© 2026 Grupo Lopez Abreu, SRL — Lavapass. Todos los derechos reservados.