Seguridad en Lynthex

En Lynthex gestionamos datos sensibles: fichas de trabajadores, remuneraciones, documentos firmados, investigaciones de accidentes y registros de salud ocupacional. Sabemos que confiarnos esa información es una decisión importante, y por eso la seguridad es parte de cómo construimos la plataforma desde el primer día.

Esta página resume, en lenguaje directo, cómo protegemos tus datos: sobre qué infraestructura corren, quién puede acceder a ellos, cómo los respaldamos y qué compromisos asumimos. Está pensada para que tu área de seguridad, TI o cumplimiento tenga una visión clara de nuestras prácticas.

Puedes revisar el estado operativo de la plataforma en tiempo real en status.lynthex.com, donde publicamos la disponibilidad del servicio de forma independiente.

Lynthex se ejecuta sobre Google Cloud Platform, una de las infraestructuras más auditadas del mundo. Google mantiene certificaciones internacionales de seguridad (ISO/IEC 27001, SOC 2 y SOC 3, entre otras) que cubren los centros de datos y servicios sobre los que operamos.

No administramos servidores propios: la base de datos, la autenticación, el almacenamiento y el hosting se apoyan en servicios gestionados de Google, con parches de seguridad, redundancia y monitoreo de infraestructura a cargo del proveedor. Esto nos permite concentrar nuestro esfuerzo en la seguridad de la aplicación.

Tus datos están cifrados en todo momento, tanto cuando viajan como cuando están almacenados:

• Cifrado en tránsito: todas las comunicaciones entre tu navegador y la plataforma viajan cifradas mediante TLS. No se transmite información en claro.
• Cifrado en reposo: la información almacenada se cifra automáticamente con las claves gestionadas por la infraestructura de Google Cloud.
• Endurecimiento del navegador: aplicamos cabeceras de seguridad estándar (como Content Security Policy y HSTS) en todas las rutas para reducir la superficie de ataque.

Lynthex es una plataforma multiempresa: cada organización solo ve y gestiona sus propios datos. Ese aislamiento está impuesto a nivel de la plataforma, no depende de la buena voluntad de los usuarios.

• Control de acceso basado en roles (RBAC): permisos por empresa, rol (administrador, editor, colaborador, auditor, contratista) y módulo. Cada usuario ve exactamente lo que su rol permite.
• Aislamiento entre empresas: la pertenencia a la empresa se valida en cada acceso a los datos. Un usuario de una organización no puede alcanzar los datos de otra.
• Autenticación de doble factor (2FA): disponible para todas las cuentas.
• Sesiones protegidas: con expiración controlada y revocación inmediata cuando se requiere.
• Protección contra abuso: límite de intentos de inicio de sesión y controles de frecuencia en las operaciones sensibles.
• Acceso controlado a los archivos: los documentos sensibles no se sirven mediante enlaces públicos; cada descarga pasa por una verificación de permisos en el servidor.

La plataforma permite firmar documentos electrónicamente (Firma Electrónica Simple, conforme a la Ley 19.799). Cada firma queda respaldada con mecanismos que permiten comprobar su integridad en el tiempo:

• Huella criptográfica: al firmar se calcula una huella del documento. Cualquier alteración posterior, por mínima que sea, la modifica y queda en evidencia.
• Verificación pública: cada documento firmado puede validarse desde un enlace público, sin necesidad de iniciar sesión.
• Cadena de custodia inalterable: las huellas de las firmas se depositan periódicamente en un almacén de solo lectura con retención prolongada. Ni siquiera nosotros podemos modificarlo, lo que permite acreditar que una firma existía en una fecha determinada.
• Respuesta a impugnaciones: contamos con herramientas internas para responder cualquier cuestionamiento sobre un documento firmado.

Protegemos tus datos frente a pérdidas, errores y borrados accidentales con varias capas de respaldo:

• Respaldos automáticos y periódicos de la base de datos, con retención por varias semanas.
• Recuperación a un punto en el tiempo: podemos restaurar la base de datos al estado de un momento anterior dentro de una ventana reciente.
• Respaldo de los archivos en un almacenamiento separado que conserva versiones anteriores.
• Protección contra eliminación activada para evitar borrados catastróficos.
• Restauración probada: validamos periódicamente que los respaldos se pueden restaurar de verdad. No basta con tenerlos: hay que comprobar que funcionan.

Vigilamos la plataforma de forma continua para detectar y resolver incidentes rápidamente:

• Monitoreo de errores en producción que nos alerta ante fallos antes de que escalen.
• Registro de auditoría: los eventos de seguridad relevantes (accesos y acciones sensibles) quedan registrados y son revisables.
• Página de estado independiente: publicamos la disponibilidad del servicio en status.lynthex.com, con monitoreo externo continuo.

Tratamos los datos personales conforme a la legislación chilena, con especial atención a la Ley 21.719 de protección de datos, cuya entrada en vigencia está prevista para diciembre de 2026. Estamos en proceso de adecuación formal, acompañados de asesoría legal especializada.

• Roles claros: respecto de los datos de sus trabajadores, la empresa-cliente es la Responsable del Tratamiento y Lynthex actúa como Encargado, procesándolos según sus instrucciones.
• Datos sensibles reforzados: la información de salud ocupacional y remuneraciones recibe protección adicional.
• Minimización: recopilamos solo los datos necesarios para prestar el servicio y no los usamos con fines publicitarios ni de rastreo.
• Notificación de brechas: ante un incidente que comprometa datos personales, notificamos a la autoridad y a los afectados en los plazos que exige la ley.

El detalle completo está en nuestra Política de Privacidad y en los Términos de Servicio.

Para prestar el servicio nos apoyamos en un conjunto acotado de proveedores líderes, todos con sus propias certificaciones de seguridad. Los seleccionamos por categorías bien definidas:

• Infraestructura en la nube: base de datos, autenticación, almacenamiento y hosting.
• Inteligencia artificial de apoyo: generación de textos y análisis asistido.
• Monitoreo y protección: detección de errores y control de abuso.
• Comunicaciones: envío de notificaciones por correo electrónico.

Algunos de estos proveedores alojan datos fuera de Chile, lo que implica una transferencia internacional que la Ley 21.719 regula; estamos formalizando los acuerdos de tratamiento de datos correspondientes. Entregamos la lista detallada de subprocesadores y sus acuerdos de tratamiento (DPA) a clientes y evaluadores que lo soliciten a través de privacidad@lynthex.cl.

La seguridad no es una capa que se agrega al final: está en cómo construimos.

• Estándar OWASP ASVS Nivel 2: desarrollamos siguiendo este marco de verificación de seguridad de aplicaciones, y hemos cerrado los hallazgos críticos de nuestras auditorías internas.
• Control de cambios: todo cambio pasa por revisión y por una batería automatizada de pruebas antes de llegar a producción, lo que deja un registro auditable de qué cambió y cuándo.
• Aislamiento verificado: las reglas que separan a una empresa de otra se validan con pruebas automáticas en cada cambio.
• Vigilancia de dependencias: monitoreamos las librerías de terceros en busca de vulnerabilidades conocidas y las atendemos de forma continua.

Si eres investigador de seguridad o detectas una posible vulnerabilidad, queremos saberlo. Agradecemos la divulgación responsable y no emprenderemos acciones legales contra quien investigue de buena fe y respete la privacidad de los datos.

Escríbenos a security@lynthex.cl con la descripción del hallazgo y los pasos para reproducirlo. Nos comprometemos a acusar recibo y a mantenerte informado del avance.

Para consultas sobre datos personales o el ejercicio de tus derechos, el canal es privacidad@lynthex.cl.