- Inicio de sesión único SAML 2.0
- Acceso con Google y Microsoft
- Hash bcrypt, política de contraseñas estricta
- Bloqueo por cuenta y por IP
- Cerrar sesión en todas partes
Centro de seguridad de Mentornity
Los datos de tu programa, protegidos en cada capa.
Mentornity gestiona programas de mentoría y coaching para empresas, universidades, aceleradoras y comunidades. Así protegemos a las personas que participan en ellos: dónde están los datos, quién puede acceder, cómo se cifran, se supervisan y se recuperan, y qué política respalda cada control.
- 3zonas de disponibilidad para la base de datos
- 24/7monitorización externa del servicio
- 30 díasde retención central de registros
- 7 díasde historial de instantáneas cifradas
- AES-256cifrado de discos, instantáneas y copias de seguridad
- 15políticas de seguridad publicadas
Arquitectura
Una región, una red privada, por capas desde el borde hacia dentro.
Cada solicitud llega a Mentornity a través de Cloudflare y de una capa de borde reforzada que termina el TLS. La aplicación y la base de datos están detrás, en una red privada en Fráncfort, y la base de datos se replica en tres zonas de disponibilidad.
Defensa en profundidad
Cuatro capas, cada una sólida por sí misma.
- RedCloudflare delante, una capa de borde reforzada y una VPC privada con grupos de seguridad que lo deniegan todo por defecto. La base de datos nunca es accesible desde internet.
- IdentidadSSO SAML, acceso con Google y Microsoft, contraseñas bcrypt con una política estricta, bloqueo tras fallos repetidos y revocación de todas las sesiones cuando se pida.
- AplicaciónAutorización en el servidor en cada solicitud, aislamiento por programa, visibilidad por campo de las respuestas de los miembros, texto enriquecido saneado y una Content Security Policy basada en nonce.
- DatosDiscos, instantáneas y copias de seguridad cifrados, secretos en un almacén de parámetros cifrado, replicación en tres zonas y registros que nunca guardan contraseñas ni tokens.
Resiliencia
Un día de protección, todos los días.
Los datos se replican de forma continua, se escriben cada noche en una copia de seguridad fuera del servidor y reciben una instantánea cada mañana, mientras una sonda externa comprueba el servicio a todas horas.
0datos perdidos si falla un nodo de base de datos: la replicación conmuta automáticamente
≤ 24 hpunto de recuperación para una restauración completa desde la copia nocturna
7 díasde instantáneas cifradas de cada servidor y disco de datos
Controles
Lo que hay en marcha hoy.
Un resumen de los controles técnicos que funcionan en producción. Cada tarjeta enlaza con la política que lo describe por completo.
- Comprobaciones en el servidor en cada ruta
- Aislamiento de datos por programa
- Visibilidad de respuestas por campo
- Acceso de administración por roles
- Claves de API acotadas y con límite de uso
- Solo TLS 1.2 y 1.3, HSTS
- Discos cifrados (AES-256)
- Instantáneas y copias cifradas
- Secretos en una bóveda cifrada
- SPF y DKIM en el correo saliente
- VPC de AWS dedicada en Fráncfort
- Grupos de seguridad con denegación por defecto
- Acceso reforzado a metadatos de instancia
- Infraestructura como código
- Control automático de exposición en cada cambio
- Registros y alarmas de CloudWatch
- Registro de auditoría con AWS CloudTrail
- Sonda externa tipo dead man’s switch
- Control de caducidad de certificados
- Aviso de reinicios de contenedores
- Actualizaciones de seguridad diarias del sistema
- Ventana de mantenimiento mensual
- govulncheck y auditorías de paquetes
- Entornos de ejecución con soporte
- Hallazgos seguidos hasta su cierre con pruebas
Políticas
Nuestras políticas de seguridad.
15 políticas describen cómo funciona Mentornity, desde el control de acceso y el cifrado hasta la respuesta a incidentes y la recuperación. Compártelas con tu revisión de seguridad; todos los clientes disponen de un Acuerdo de Tratamiento de Datos.
Gobernanza y privacidad
Política de seguridad de la información
El programa completo: alcance, principios, roles y cómo encajan todas las demás políticas de este sitio.
Lee la política →Política de protección de datos y privacidad
Dónde están los datos, quién los controla, qué se recoge y cómo se devuelven o se eliminan.
Lee la política →Política de gestión de riesgos de proveedores y de la cadena de suministro
Cómo se eligen y revisan los proveedores, y la lista completa de subencargados.
Lee la política →Política de IA y uso de datos
Cómo usan Mentornity AI y el conector MCP los datos de los programas, y qué no hacen nunca con ellos.
Lee la política →Política de divulgación responsable
Cómo informar de una vulnerabilidad, a qué nos comprometemos a cambio y las reglas del juego.
Lee la política →Protección de datos
Política de control de acceso
Cómo se autentican usuarios, administradores, ingenieros y máquinas, y a qué puede acceder cada uno.
Lee la política →Política de cifrado y gestión de claves
TLS en todas partes, discos, instantáneas y copias cifrados, y secretos guardados en una bóveda gestionada.
Lee la política →Política de seguridad de infraestructura y red
Una red de AWS dedicada en Fráncfort, un único punto de entrada reforzado y una base de datos a la que nadie llega desde internet.
Lee la política →Operaciones y resiliencia
Política de gestión de registros y monitorización
Qué registros existen, qué contienen, cuánto tiempo se guardan y quién los vigila.
Lee la política →Política de gestión de vulnerabilidades y parches
Actualizaciones de seguridad diarias del sistema operativo, una ventana de mantenimiento mensual y análisis de dependencias hasta cero problemas conocidos.
Lee la política →Política de respuesta a incidentes
De la detección a la notificación y la revisión posterior: fases, roles y plazos.
Lee la política →Política de copias de seguridad y recuperación
Replicación en tres zonas de disponibilidad, instantáneas diarias, copias nocturnas fuera del servidor y restauraciones documentadas.
Lee la política →Política de continuidad del negocio
Mantener el servicio y el equipo en marcha ante interrupciones de proveedores, de infraestructura o de personas.
Lee la política →Ingeniería segura
Política de desarrollo seguro y gestión de cambios
Cada cambio es una pull request revisada que supera controles automáticos antes de un despliegue automático y reversible.
Lee la política →Controles OWASP Top 10
Cómo aborda la plataforma cada uno de los diez riesgos de seguridad más críticos de las aplicaciones web.
Lee la política →Subencargados
Quién más trata los datos.
Los proveedores que tratan datos de los programas, para qué y dónde. Las integraciones opcionales las activa la organización o el participante. Política de gestión de riesgos de proveedores
| Proveedor | Finalidad | Ubicación de los datos |
|---|---|---|
| Amazon Web Services | Alojamiento, base de datos, almacenamiento de archivos, copias de seguridad, registros, correo transaccional (SES) | UE (Fráncfort) |
| Cloudflare | DNS, CDN, protección DDoS, comprobación antibots en formularios públicos, enrutamiento del correo entrante | Red perimetral global |
| Stripe | Facturación de suscripciones y pagos con tarjeta (solo contactos de facturación) | UE y EE. UU. |
| Opcional: acceso con Google, sincronización con Google Calendar | Según la cuenta de Google del participante | |
| Microsoft | Opcional: acceso con Microsoft, sincronización con el calendario de Outlook | Según la cuenta de Microsoft del participante |
| Zoom | Opcional: enlaces de reunión de Zoom | Según la cuenta de Zoom de la organización |
| Anthropic | Opcional: asistente de IA de Mentornity, con la propia clave de API de la organización | EE. UU. |
Preguntas de seguridad, respondidas
¿Dónde se almacenan los datos de Mentornity?
Todos los datos de producción se almacenan y tratan en la Unión Europea, en la región eu-central-1 de AWS en Fráncfort (Alemania), en tres zonas de disponibilidad. Las copias de seguridad y los registros permanecen en la misma región.
¿Están cifrados los datos?
Sí. Todas las conexiones son solo HTTPS con TLS 1.2 o 1.3 y HSTS. Los discos de los servidores, los volúmenes de la base de datos, las instantáneas y las copias de seguridad se cifran en reposo con AES-256, y las contraseñas se guardan solo como hashes bcrypt.
¿Mentornity admite inicio de sesión único?
Sí. Las organizaciones pueden usar el inicio de sesión único SAML 2.0 con su propio proveedor de identidad, y los participantes también pueden acceder con Google o Microsoft.
¿Cumple Mentornity el RGPD?
Mentornity trata los datos de los programas como encargado del tratamiento siguiendo las instrucciones de la organización cliente, los aloja en la UE y ofrece a todos los clientes un Acuerdo de Tratamiento de Datos conforme al artículo 28 del RGPD.
¿Cómo se hacen las copias de seguridad?
La base de datos se replica de forma continua en tres zonas de disponibilidad, se copia cada noche en un almacenamiento cifrado separado, y cada servidor y volumen de datos recibe una instantánea diaria con siete días de historial.
¿Qué subencargados usa Mentornity?
Amazon Web Services para alojamiento, almacenamiento y correo, Cloudflare para DNS, CDN y protección DDoS, y Stripe para la facturación. Google, Microsoft, Zoom y Anthropic solo se usan cuando una organización o un participante activa esa integración.
¿Mentornity AI se entrena con nuestros datos?
No. El asistente de IA se activa por programa, funciona con los modelos Claude de Anthropic a través de la propia clave de API de la organización, y Anthropic no entrena sus modelos con datos enviados a través de su API comercial.
¿Cómo informo de un problema de seguridad o pido un cuestionario de seguridad?
Escribe a privacy@mentornity.com. Confirmamos la recepción de los informes de vulnerabilidades en tres días hábiles; los cuestionarios de seguridad y las solicitudes de DPA van a la misma dirección.
¿Has encontrado una vulnerabilidad? ¿Necesitas respuestas para tu cuestionario de seguridad?
Agradecemos los informes de investigadores y las revisiones de tu equipo de seguridad. Confirmamos la recepción de cada informe en un plazo de tres días hábiles. Lee la política de divulgación responsable.
privacy@mentornity.com Informes de seguridad, cuestionarios y solicitudes de DPA