1. Objetivo

El objetivo es proteger la confidencialidad, integridad, disponibilidad y trazabilidad de la información procesada por el CRM y el Sistema de Ventas Omnicanal con IA, reduciendo riesgos de acceso no autorizado, pérdida, alteración, divulgación, fraude, abuso y continuidad operativa.

2. Modelo de responsabilidad compartida

La seguridad del servicio se divide entre Travia, el Cliente y los proveedores tecnológicos. Travia administra la configuración comercial, accesos y procesos que controla; el Cliente controla sus usuarios, contenidos, autorizaciones, credenciales y configuraciones de negocio; los proveedores administran la infraestructura y servicios técnicos que les corresponden. Por ello, una cuenta técnicamente segura puede quedar expuesta si el Cliente comparte contraseñas, desactiva controles, conecta aplicaciones no confiables, concede permisos excesivos o carga información sin autorización.

3. Controles de acceso

• Uso de cuentas individuales cuando la plataforma lo permita.

• Aplicación de roles y permisos según necesidad.

• Uso recomendado de autenticación multifactor (2FA).

• Revisión y retiro de accesos cuando un colaborador deja la organización.

• No compartir credenciales ni tokens/API keys.

• Notificación inmediata de accesos sospechosos o pérdida de credenciales.

4. Protección de infraestructura

Travia utiliza infraestructura tecnológica de terceros para prestar el CRM. HighLevel publica que su plataforma está alojada en Google Cloud Platform y utiliza TLS 1.2+ para datos en tránsito y AES-256 para datos en reposo, además de mitigación DDoS y Web Application Firewall (WAF). HighLevel también publica controles de producto como 2FA, permisos granulares, logs de auditoría y SSO; y controles de aplicación como pruebas periódicas de penetración, programa de divulgación responsable y escaneo automatizado de vulnerabilidades. Estas medidas pertenecen a la infraestructura/servicio de HighLevel y su disponibilidad puede depender del plan y configuración contratados.

5. Seguridad de aplicaciones y configuraciones

Travia procurará mantener configuraciones de CRM, workflows, agentes IA, integraciones y automatizaciones bajo principios de mínimo privilegio y necesidad de acceso. Las configuraciones críticas deberán documentarse y, cuando sea posible, probarse antes de desplegarse en producción. No se deberán incorporar scripts, integraciones, extensiones o aplicaciones de terceros sin evaluar su necesidad y permisos. Las API keys y secretos deberán mantenerse confidenciales y ser rotados cuando exista sospecha de exposición.

6. Seguridad del agente IA

Los agentes IA pueden recibir instrucciones maliciosas, información falsa o intentos de manipulación. Travia procurará aplicar instrucciones de sistema, límites de herramientas, validaciones y controles de permisos adecuados al caso. La IA no deberá recibir autorización ilimitada para ejecutar acciones de alto impacto sin controles humanos o validaciones adicionales cuando exista riesgo. En especial, acciones que generen pagos, eliminación masiva de información, cambios críticos, decisiones sobre derechos de personas o comunicaciones sensibles deberán limitarse según la arquitectura del servicio. El Cliente es responsable de revisar las instrucciones, bases de conocimiento y acciones que configure para su agente.

7. Seguridad de comunicaciones omnicanal

Las comunicaciones por correo, SMS, WhatsApp, voz u otros canales dependen de operadores y proveedores externos. Travia aplicará configuraciones razonables, pero no controla redes de telecomunicaciones ni garantiza entrega absoluta. El Cliente debe evitar enviar información sensible por canales que no sean apropiados y debe respetar autorizaciones, opt-outs, reglas anti-spam y políticas de los proveedores.

8. Gestión de proveedores

Travia podrá utilizar proveedores especializados para CRM, cloud, correo, mensajería, IA, pagos, analítica, seguridad y otros componentes. Antes de integrarlos se procurará evaluar su relevancia, permisos, condiciones de seguridad y tratamiento de datos. Cuando un proveedor tenga acceso a datos personales por cuenta de Travia o del Cliente, se buscará establecer obligaciones de confidencialidad y tratamiento conforme a la normativa aplicable.

9. Registro, monitoreo y auditoría

Cuando la plataforma lo permita, podrán utilizarse logs de acceso, eventos, cambios y actividades para soporte, seguridad, auditoría, resolución de incidentes y cumplimiento. Los registros se conservarán durante periodos razonables y conforme a obligaciones legales y de seguridad. El acceso de personal de Travia a cuentas de clientes deberá limitarse a necesidades legítimas de soporte, configuración, mantenimiento o seguridad y respetar los permisos y procedimientos internos disponibles.

10. Gestión de incidentes

Ante un incidente confirmado o sospechado, Travia podrá: identificar y contener el evento; revocar credenciales; aislar integraciones; preservar evidencia; investigar causa e impacto; aplicar medidas de recuperación; y evaluar obligaciones de comunicación. Travia Content · Povalco Services S.A.S. · Documento contractual / informativo Página 3 Los Clientes deberán informar rápidamente a Travia sobre accesos no autorizados, malware, exposición de credenciales, pérdida de dispositivos, envíos masivos no autorizados o cualquier situación que pueda comprometer el servicio. Cuando legalmente corresponda, Travia notificará al Cliente o a las autoridades competentes dentro de los plazos exigibles. La coordinación con el Cliente podrá ser necesaria para determinar el alcance del incidente y las obligaciones aplicables.

11. Continuidad y disponibilidad

La continuidad depende de Travia, HighLevel y múltiples proveedores externos. Travia procurará mantener configuraciones documentadas y procedimientos de recuperación razonables. No obstante, no se garantiza una disponibilidad absoluta. Los Clientes deben mantener copias de seguridad de la información crítica cuando sus operaciones lo requieran. Los backups de terceros están sujetos a las capacidades y políticas de cada proveedor.

12. Retención y eliminación segura

La información se conservará según las finalidades, obligaciones legales y necesidades operativas. Al terminar un servicio, Travia podrá suspender el acceso y posteriormente eliminar o anonimizar información conforme a los plazos aplicables y a las condiciones del plan. La eliminación de una cuenta puede ser irreversible. Antes de solicitar eliminación, el Cliente deberá exportar la información que necesite conservar cuando el servicio permita dicha exportación.

13. Seguridad física y de terceros

La infraestructura física principal es proporcionada por terceros especializados. Travia no opera directamente los centros de datos subyacentes. Por ello, las medidas de seguridad física, redundancia, disponibilidad y continuidad dependen en parte de las prácticas de los proveedores de infraestructura.

14. Limitaciones

Ningún sistema conectado a Internet puede garantizar seguridad absoluta. Esta Política no constituye una garantía de que nunca ocurrirá una vulneración. Travia no será responsable de incidentes causados exclusivamente por credenciales comprometidas por el Cliente, configuraciones inseguras del Cliente, aplicaciones de terceros, instrucciones ilícitas, fallas de proveedores externos o ataques que excedan medidas razonables de seguridad, sin perjuicio de las responsabilidades que legalmente correspondan.

15. Responsabilidades mínimas del Cliente

• Mantener contraseñas robustas y 2FA cuando esté disponible.

• No compartir credenciales.

• Revisar usuarios y permisos periódicamente.

• Retirar accesos de excolaboradores.

• Obtener autorizaciones para tratamiento y comunicaciones.

• No cargar información que no esté autorizado a tratar.

• Mantener dispositivos y navegadores actualizados.

• Reportar incidentes inmediatamente.

• Usar integraciones y aplicaciones confiables.

• Revisar salidas de IA antes de utilizarlas en situaciones de riesgo.

16. Reporte de vulnerabilidades y contacto

Travia Content · Povalco Services S.A.S. · Documento contractual / informativo Página 4 Los reportes de seguridad, sospechas de acceso no autorizado o incidentes relacionados con una cuenta de Travia deberán enviarse a [email protected] con la mayor información posible. No se debe incluir información sensible innecesaria en el reporte inicial. Cuando el incidente corresponda a la infraestructura de un proveedor, Travia podrá escalarlo al proveedor y coordinar la respuesta según sus procedimientos.

17. Actualización de la Política

Esta Política podrá actualizarse conforme evolucionen la arquitectura, los proveedores, las amenazas, las funcionalidades de IA y las obligaciones legales. La versión vigente será la publicada por Travia.