Teramot — Cumplimiento y seguridad
Centro de confianza
Seguridad que podés verificar, no solo creer
Teramot tiene un informe SOC 2 Tipo II sin excepciones, emitido en agosto de 2026 por Sentry Assurance tras un período de observación de seis meses. Esta página explica cómo se protege la plataforma, qué respalda cada control y dónde encontrar la evidencia.
SOC 2 Tipo IISentry Assurance · ago 20266
Meses de observación del Tipo II
0
Excepciones
15 / 15
Hallazgos del pentest corregidos
365
Días de retención de logs
Certificaciones e informes
SOC 2 Tipo II
Informe emitido · ago 2026Un auditor independiente evaluó los controles de Teramot contra los Trust Services Criteria de AICPA para Seguridad durante seis meses, y concluyó que funcionaron de forma efectiva todo el período, sin excepciones. Un informe Tipo II cubre cómo operaron los controles a lo largo del tiempo, no solo cómo fueron diseñados.
- Auditor
- Sentry Assurance (EE. UU.)
- Criterios
- Seguridad · Common Criteria CC1–CC9
- Período de observación
- 16 dic 2025 – 15 jun 2026
- Acceso
- Bajo NDA, a pedido
SOC 2 Tipo I
Completado · dic 2025El primer informe SOC 2 de Teramot: el mismo auditor evaluó el diseño de los controles de Seguridad en un punto en el tiempo.
- Auditor
- Sentry Assurance (EE. UU.)
- Tipo
- Punto en el tiempo
Prueba de penetración
Todo corregidoUna firma independiente atacó la plataforma como lo haría un adversario. Identificó 15 vulnerabilidades, y todas fueron corregidas.
- Firma
- Faraday Sec (Argentina)
- Frecuencia
- Al menos una vez por año
ISO/IEC 27001
En preparaciónLa documentación y la evidencia del sistema de gestión de seguridad de la información están en curso, sincronizadas de forma continua con Vanta.
- Objetivo
- 2026
- Herramienta
- Vanta
Protección de datos personales
ContinuoLos datos personales se tratan según la Ley de Protección de Datos Personales de Argentina, con una revisión anual.
- Marco
- Ley 25.326 (Argentina)
- Revisión
- Anual
SOC 2 es una atestación, no un certificado: la opinión del auditor, la descripción del sistema y cada control evaluado están en el informe, que compartimos bajo NDA (ver más abajo).
Qué cubrió la auditoría SOC 2
La categoría Seguridad, también llamada Common Criteria, es el núcleo obligatorio de todo informe SOC 2. Tiene nueve grupos. Esto es lo que significa cada uno en Teramot, y la política que lo rige.
Un código de conducta, roles de seguridad definidos y un Comité de Seguridad de la Información que aprueba las políticas.
Roles de seguridad →Compromisos de seguridad y políticas publicados, y canales abiertos para reportar vulnerabilidades o inquietudes.
Compromisos de seguridad →Un proceso documentado para identificar amenazas, calificarlas y seguir su tratamiento.
Gestión de riesgos →Vanta evalúa los controles contra la infraestructura de forma continua y marca cualquier desvío para corregirlo.
Seguridad de operaciones →Políticas convertidas en controles técnicos: chequeo de permisos en la API, infraestructura como código, controles automáticos en cada cambio.
Política de seguridad →SSO con MFA y VPN para el equipo, acceso por roles para los clientes, cifrado en reposo y en tránsito.
Control de acceso →Registros de auditoría, detección de amenazas, alertas y un plan de respuesta a incidentes probado al menos una vez por año.
Respuesta a incidentes →Cada cambio pasa por un pull request con tests y controles de seguridad automáticos, y avanza de desarrollo a staging a producción.
Desarrollo seguro →Evaluación de proveedores, y planes de continuidad del negocio y recuperación ante desastres.
Gestión de terceros →Defensa en profundidad
Los controles están en capas, para que ninguna falla aislada exponga los datos de un cliente. Desde el borde público de la plataforma hasta los datos:
Protección de datos
| Área | Cómo se protege |
|---|---|
| Cifrado en tránsito | TLS 1.2 como mínimo y TLS 1.3 disponible en todos los endpoints públicos, con HTTP redirigido a HTTPS. Los balanceadores de producción usan la política de seguridad FIPS de AWS con intercambio de claves híbrido post-cuántico. El bus de mensajes entre servicios exige TLS, y las llamadas internas del plano de control usan TLS mutuo. |
| Cifrado en reposo | AES-256 en el almacenamiento de objetos (Amazon S3), la base de metadatos (Amazon Aurora PostgreSQL) y los volúmenes. |
| Aislamiento entre clientes | Cada proyecto tiene su propia base en el catálogo de datos y su propio prefijo de almacenamiento. Cada consulta se analiza antes de ejecutarse, y se rechaza cualquier referencia fuera del proyecto, salvo datos compartidos explícitamente con él. Ver Dónde viven tus datos. |
| Sistemas de origen | Teramot solo lee de tus fuentes, y se recomienda un usuario de base de datos de solo lectura. Hay conexiones privadas por IPsec disponibles. |
| Credenciales de las fuentes | Cifradas en reposo, usadas solo al conectarse, nunca devueltas por la API y eliminadas de los logs y reportes de errores. |
| Residencia | AWS us-east-1 (Virginia del Norte). Los datos de clientes no se replican en otras regiones. |
| Inteligencia artificial | Teramot no entrena ni ajusta modelos con tus datos. Qué recibe cada agente, y qué proveedores lo procesan, está en Agentes de IA. |
| Retención | Logs de infraestructura 365 días, registro de actividad del proyecto 90 días, trazas de agentes 14 días, backups de metadatos 7 días. Ver Retención y borrado. |
Ciclo de desarrollo seguro
Cada cambio en el producto sigue el mismo camino a producción:
- RamaEl trabajo empieza en su propia rama. La rama principal no admite force-push ni borrado.
- Pull requestEl código entra solo por pull request, con historia lineal y todos los hilos de revisión resueltos.
- Controles automáticosTests, chequeo de tipos y linters con reglas de seguridad (gosec, Bandit), más detección de secretos en la aplicación principal.
- Revisión de seguridadUna revisión automática obligatoria con checklist de seguridad: credenciales, validación de entradas, datos sensibles en logs.
- StagingLa infraestructura es código (Terraform). Los cambios pasan por desarrollo y staging antes de producción.
- ReleaseProducción corre solo versiones etiquetadas sobre commits firmados, desplegadas con credenciales de corta duración.
Las imágenes de contenedores se escanean en busca de vulnerabilidades al subirlas, y las funcionalidades se pueden apagar en tiempo real sin redesplegar.
Monitoreo y respuesta a incidentes
| Señal | Cobertura |
|---|---|
| Auditoría de la nube | AWS CloudTrail en todas las regiones, con validación de integridad de los logs |
| Red | VPC Flow Logs de todo el tráfico de producción |
| Detección de amenazas | Amazon GuardDuty, con hallazgos enviados al equipo de seguridad |
| Aplicación | Monitoreo de errores con secretos eliminados, un ID de correlación por pedido y alarmas de errores, latencia y salud de las bases |
| Equipos | Bitdefender GravityZone en los equipos del personal |
| Cumplimiento | Vanta evalúa los controles de forma continua |
Cuando algo pasa, el Plan de Respuesta a Incidentes define los pasos:
- DetectarAlertas del monitoreo de arriba, o un reporte a security
@teramot.com. - ClasificarCada incidente recibe una severidad de P0 a P3, que fija su urgencia.
- Contener y corregirCiberseguridad y DevOps aíslan la causa y la corrigen.
- NotificarLos clientes afectados reciben aviso dentro de las 72 horas de confirmado.
- AprenderUn informe escrito posterior al incidente. El análisis de causa raíz se comparte bajo NDA.
El plan se prueba al menos una vez por año.
Gestión de vulnerabilidades
Los hallazgos de escaneos, monitoreo y pruebas de penetración se corrigen dentro de estos plazos, definidos en la Política de Seguridad de Operaciones:
Los escaneos externos de vulnerabilidades corren cada trimestre, y una prueba de penetración independiente al menos una vez por año.
Continuidad del negocio
El Plan de Continuidad del Negocio y Recuperación ante Desastres fija estos objetivos de recuperación para la plataforma de producción:
1
Hora para recuperar (RTO)
15
Minutos de datos en riesgo (RPO)
| Área | Detalle |
|---|---|
| Backups de bases de datos | Automáticos, guardados 7 días, con recuperación a un punto en el tiempo y un snapshot final antes de cualquier borrado |
| Disponibilidad | Una réplica de la base en una segunda zona de disponibilidad, y protección contra borrado |
| Servidores con estado | Snapshots diarios de los volúmenes |
| Pruebas | Las restauraciones se prueban al menos una vez por año |
Línea de tiempo de cumplimiento
Publicación del pack de cumplimiento y seguridad
oct 2025Versión 1.0 de esta página y del conjunto de políticas
SOC 2 Tipo I completado
dic 2025Sentry Assurance · criterio de Seguridad
Período de observación del Tipo II
dic 2025 – jun 2026Seis meses de controles evaluados en operación
Informe SOC 2 Tipo II emitido
ago 2026Sin excepciones
ISO/IEC 27001
Objetivo 2026Documentación y evidencia en curso
Herramientas detrás de los controles
Empresa y gobierno
| Ítem | Detalle |
|---|---|
| Razón social | Halley LLC |
| Sede principal | Rosario, Argentina |
| Entidad en EE. UU. | Registrada en Delaware |
| Domicilio registrado | 16192 Coastal Highway, City of Lewes, County of Sussex, DE 19958 |
| Países atendidos | Argentina · Estados Unidos |
| Comité de Seguridad de la Información | Bruno Ruyu · Lucas Uzal · Leandro Ruspini · Ezequiel Alejandro Mora · Valentín Torassa Colombero |
| Aprobación de políticas | Aprobadas por Valentín Torassa Colombero, Analista de Ciberseguridad |
Las empresas que procesan datos por cuenta de Teramot están en Proveedores que procesan datos. Sentry, el servicio de monitoreo de errores de esa lista, no tiene relación con Sentry Assurance, el auditor de SOC 2.
Documentos y políticas
Acceso al informe SOC 2
¿Necesitás el informe SOC 2 Tipo II?
Compartimos el informe completo, con la opinión del auditor y los controles evaluados, bajo NDA. Escribinos a security@teramot.com y contanos para qué organización es.
Historial de revisiones
| Fecha | Autor | Rol | Notas |
|---|---|---|---|
| Oct 2025 | Valentín Torassa Colombero | Analista de Ciberseguridad & Cumplimiento | Publicación inicial del Paquete de Cumplimiento y Seguridad de Teramot |
| Oct 2026 | Valentín Torassa Colombero | Analista de Ciberseguridad & Cumplimiento | Informe SOC 2 Tipo II emitido (agosto 2026, Sentry Assurance, sin excepciones); página rediseñada con detalle técnico de cada control |