Esta es una traducción de cortesía. Si hay alguna diferencia entre esta traducción y la versión original en inglés, prevalece la versión en inglés.
Agile Gauge: Seguridad
De un vistazo
- Tus datos de Azure DevOps permanecen en tu tenant. Agile Gauge los lee en modo de solo lectura, en tu navegador, y no copia el contenido de los elementos de trabajo a los servidores de Alesta Software.
- La aplicación de puestos se comprueba con nuestro servicio de licencias cada vez que se abre Agile Gauge, no solo en una pantalla de la extensión. Las licencias están firmadas, por lo que no se pueden falsificar en el navegador.
- La telemetría de uso consiste en recuentos diarios agregados: sin organización, sin persona y sin contenido de elementos de trabajo.
- No almacenamos nombres ni direcciones de correo electrónico de tus usuarios, y los registros de nuestro servicio no guardan direcciones IP de clientes.
Qué llega a Alesta Software
Solo: registros de licencia y de pago, la lista de puestos, la lista de administradores de Agile Gauge, los tickets de soporte que abres y recuentos de uso agregados. Cada persona de la lista de puestos o de administradores se guarda solo como un hash unidireccional con clave y una referencia que generamos (empieza por USR-): nunca un nombre, una dirección de correo electrónico ni un ID de identidad de Azure DevOps. Agile Gauge muestra los nombres consultando tu propio Azure DevOps, así que nunca nos llegan. Consulta la Política de privacidad para ver el detalle completo.
Alojamiento y aislamiento de datos
El backend de Agile Gauge funciona en una infraestructura compartida con los demás productos de Alesta Software, pero en su propio esquema de base de datos aislado: una separación impuesta para que un error o incidente que afecte a un producto no pueda alcanzar los datos de los clientes de otro producto.
Autenticación y control de acceso
- Solo ámbitos de Azure DevOps de solo lectura: la Extensión no puede modificar elementos de trabajo, pipelines ni el contenido de los repositorios.
- Acceso basado en puestos: después de la prueba, un administrador asigna los puestos; cualquiera que no tenga uno queda bloqueado del acceso a los datos de la Extensión. Cada llamada a nuestro servicio de licencias lleva la identidad de Azure DevOps de quien la realiza, que el servicio verifica con Azure DevOps antes de responder. El servicio guarda solo el hash con clave descrito más arriba, nunca la identidad en sí.
- Los tokens de activación de licencia son credenciales de portador y nunca se registran en los logs.
Subencargados del tratamiento
Microsoft Azure (nuestro servicio de licencias y su base de datos, en la región Central US), Paddle (pagos, como Merchant of Record), Resend (correo con la clave de licencia y avisos de tickets a nuestra propia dirección de soporte) y Cloudflare (DNS). La lista completa, con lo que recibe cada uno, está en la página de subencargados del tratamiento.
Respuesta ante incidentes
Si confirmamos un incidente de seguridad que afecta a datos de clientes, lo notificamos a los clientes afectados mediante un aviso en la Extensión y en nuestro sitio web, sin demora indebida y dentro del plazo que exige la ley, indicando qué ocurrió, qué datos se vieron afectados y qué estamos haciendo al respecto, y lo notificamos a las autoridades cuando la ley lo exige.
Cómo informar de un problema de seguridad
Escribe a [email protected].