En Salesupply nos comprometemos a proteger tus datos con medidas sólidas de seguridad y privacidad. Esta política describe nuestro enfoque integral para proteger la información que se nos confía. Última actualización: 9 de noviembre de 2026.
Este texto está disponible en varios idiomas. Si las versiones difieren, prevalece la versión en inglés.
Este apartado describe las políticas, la gobernanza y las certificaciones fundamentales que constituyen la base de nuestro Sistema de Gestión de Seguridad de la Información (SGSI).
Contamos con una Política de Seguridad de la Información claramente documentada, aprobada por primera vez por nuestro Consejo de Dirección el 8 de enero de 2021. Esta política se distribuye a través de un sistema online, es obligatoria para todo el personal de Salesupply y se revisa anualmente. Nuestros contratos de encargo del tratamiento (DPA) con clientes y subencargados del tratamiento definen con más detalle nuestros compromisos en materia de protección de datos y privacidad.
Nuestra Política de Seguridad de la Información establece que los riesgos identificados se someten a una evaluación de riesgos, y que la evaluación de riesgos y el plan de tratamiento se elaboran según las directrices de ISO 27005.
El Consejo de Dirección es responsable de la Política de Seguridad de la Información. El Responsable de Seguridad de la Información (CTO) se encarga de mantener y coordinar el Sistema de Gestión de Seguridad de la Información (SGSI).
Nuestros servidores están alojados en centros de datos con certificación ISO 27001, con seguridad física y del entorno certificada.
Nuestras personas y nuestros procesos son fundamentales para nuestra seguridad. Aquí detallamos los controles organizativos que aplicamos para proteger tus datos durante todo su ciclo de vida.
Se realizan comprobaciones de antecedentes a los nuevos empleados, incluida la obtención de referencias profesionales. Todos los empleados firman contratos de trabajo que incluyen cláusulas de confidencialidad y un reconocimiento de la Política de Seguridad de la Información. Todo el personal es responsable de proteger la información y de notificar los incidentes de seguridad. Con nuestros socios utilizamos acuerdos de confidencialidad (NDA).
Nuestros contratos de encargo del tratamiento incluyen derechos de auditoría para el responsable del tratamiento (nuestro cliente), que le permiten verificar el cumplimiento con un preaviso razonable y sin coste adicional, según lo establecido en el contrato.
Todos los activos de información están registrados y tienen un propietario asignado. La eliminación segura de soportes se realiza conforme a procedimientos documentados, para evitar fugas de datos desde activos retirados.
Nuestra Política de Seguridad de la Información detalla la gestión de incidentes, incluidos los canales de notificación, la investigación y la comunicación a las partes afectadas. Nuestros contratos de encargo del tratamiento obligan a Salesupply a notificar al responsable del tratamiento, sin dilación indebida, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento.
Nuestros contratos de encargo del tratamiento recalcan la obligación de Salesupply de garantizar que los subencargados del tratamiento cumplan la normativa de protección de datos y de informar al responsable del tratamiento de los cambios previstos en relación con los subencargados. La Política de Seguridad de la Información establece que “los proveedores que traten activos de información de Salesupply o de sus clientes deben cumplir los requisitos de esta política”.
Disponemos de un Plan de Continuidad de Negocio (BCP) para minimizar la interrupción de los servicios en caso de imprevistos y garantizar la resiliencia y la disponibilidad de nuestros servicios.
Aplicamos un enfoque técnico de varias capas para proteger nuestros sistemas y tus datos frente a amenazas. A continuación se indican los principales controles técnicos que hemos implantado.
Se aplica cifrado completo del disco (BitLocker) en todos los portátiles, con un mínimo de AES-256. Todos los soportes extraíbles están deshabilitados. No se permite el uso de dispositivos móviles privados para fines de la empresa. Los usuarios estándar no tienen derechos de administrador local.
Las oficinas de Salesupply cuentan con sistemas de seguridad, sistemas de alarma, videovigilancia y control de acceso mediante tarjetas de acceso. Nuestros centros de datos con certificación ISO 27001 disponen de controles de acceso físico, vigilancia y alarmas.
Los cortafuegos controlan el tráfico de red y bloquean los accesos no autorizados. Separación de los entornos de desarrollo, pruebas y producción. Redes inalámbricas protegidas con WPA2-Enterprise y control de acceso a la red (NAC).
Todos los servidores y endpoints tienen instalada protección avanzada frente a malware (antivirus, antispyware), que se mantiene actualizada de forma continua.
Acceso remoto seguro (VPN) con autenticación multifactor (MFA). Acceso restringido y supervisado a las interfaces de administración. Métodos de transferencia de datos cifrados (VPN, SSL/TLS, SFTP) para todo intercambio de datos.
Hemos implantado sistemas de detección y prevención de intrusiones (IDS/IPS) que supervisan el tráfico de red para detectar actividad maliciosa e infracciones de las políticas.
Los sistemas se configuran de acuerdo con las mejores prácticas del sector y con líneas base de seguridad (p. ej., CIS Benchmarks, NIST) para reducir su superficie de ataque.
Se mantienen registros del sistema y pistas de auditoría de los sistemas críticos. El registro de datos personales se reduce al mínimo. Los registros se revisan con regularidad para detectar incidentes de seguridad y actividades inusuales.
Se realizan copias de seguridad periódicas de los datos críticos y se comprueba su integridad. Se ha implantado redundancia en los sistemas críticos para garantizar una alta disponibilidad.
¿Has encontrado una vulnerabilidad en alguno de nuestros sistemas o tienes una pregunta sobre la seguridad de tus datos? Escribe a security@salesupply.com. Los clientes también pueden contactar con su account manager de Salesupply, por ejemplo para obtener un cuestionario de seguridad cumplimentado.
Publicado el 26 de octubre de 2026 · Estado: resuelto
El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades de seguridad críticas en PHP (CVE-2026-109618 y CVE-2026-109619), y las agencias de seguridad europeas e internacionales instaron a las organizaciones a aplicar los parches de inmediato. Así es como lo gestionó Salesupply.
En resumen: actuamos esa misma mañana, antes de que estuviera disponible la corrección oficial. Todos nuestros sistemas PHP se parchearon en cuestión de días, la mayoría a las pocas horas de publicarse la corrección. Los flujos de pedidos, stock y envíos siguieron funcionando en todo momento. No encontramos indicios de acceso no autorizado, y no se perdió ni se expuso ningún dato de clientes.
PHP es el lenguaje de programación que hay detrás de una gran parte de los sitios y aplicaciones web del mundo, incluidos varios sistemas de Salesupply. Los dos fallos, ambos calificados como críticos (CVSS 9.2), podían permitir a un atacante tomar el control de un servidor de forma remota sin iniciar sesión. Como el punto débil estaba en el propio PHP y no en el software de ninguna empresa, afectó a organizaciones de todo el mundo.
En la mañana del 21 de octubre, antes de que se publicara la corrección oficial, nuestro equipo de Business Technology identificó todos los sistemas que ejecutaban PHP y evaluó su exposición. En todos ellos desactivamos la funcionalidad de PHP a la que se esperaba que apuntaran los ataques, siguiendo la mitigación recomendada por el proveedor. Como precaución adicional, pausamos temporalmente la subida de archivos a nuestros sistemas PHP y desconectamos sistemas cuando esa era la opción más segura.
La corrección oficial de PHP se publicó a las 16:00 CEST de esa misma tarde. Esa noche, nuestros sistemas de cara al cliente ya funcionaban con versiones de PHP parcheadas. El último sistema pendiente siguió protegido por la mitigación y se parcheó por completo el 23 de octubre durante una breve ventana de mantenimiento.
La importación de pedidos, la sincronización de stock, las actualizaciones de envío y seguimiento, los inicios de sesión, los paneles y los informes siguieron funcionando con normalidad. Los parches solo requirieron un breve reinicio. La única limitación temporal fue la subida de archivos, como las importaciones masivas a través del panel, que pausamos hasta confirmar las correcciones. Desde entonces, la subida de archivos se ha restablecido por completo.
Sí. Después de aplicar los parches, revisamos todos los sistemas PHP en busca de indicios de uso indebido, como archivos, procesos o conexiones inesperados, y seguimos supervisándolos en los días siguientes. No encontramos ningún indicio de que un atacante accediera a algún sistema, y no se perdió, alteró ni expuso ningún dato de clientes. No tienes que hacer nada.
Estamos acelerando trabajos que ya estaban previstos, para que todos los sistemas que gestionamos funcionen con una versión con soporte que reciba las correcciones de seguridad directamente del proveedor. Seguimos de cerca los avisos de seguridad para poder responder el mismo día, como hicimos en este caso.