Política de Registros de Acceso

Última actualización: May 22, 2026

POLÍTICA DE REGISTROS DE ACCESO Y AUDITORÍA

Versión: CO-2026.10.02-LOG1

Fecha de vigencia: 2 de octubre de 2026

Responsable: DataCred Tech S.A.S.

NIT: 902112751-6

Propietario y fundador: Isacc Lara González

Contacto: app@datacred.org · +57 302 668 4956

Esta política describe los registros técnicos y de auditoría que DataCred utiliza para seguridad, trazabilidad, soporte, cumplimiento y operación.

DataCred no presenta estos registros como una grabación perfecta de todo lo que ocurre en cada sistema. Son evidencia técnica generada por componentes concretos y deben interpretarse junto con su contexto.

El modelo de DataCred contempla, entre otros:

  • AuditLog;
  • SecurityEvent;
  • ApiRequestLog;
  • Session;
  • RefreshTokenHistory;
  • registros de proveedor asociados a pagos, correo, push, IA y otras integraciones.

Los eventos de auditoría pueden registrar:

  • tipo de actor;
  • actorId;
  • email técnico cuando proceda;
  • IP;
  • user-agent;
  • dispositivo;
  • sesión;
  • acción;
  • recurso;
  • resourceId;
  • descripción;
  • metadata;
  • estado anterior;
  • estado nuevo;
  • severidad;
  • categoría;
  • flags de sospecha o relevancia de cumplimiento;
  • país y ciudad técnica cuando estén disponibles;
  • fecha y hora.

El modelo actual incluye categorías como:

  • AUTHENTICATION;
  • AUTHORIZATION;
  • DATA_ACCESS;
  • DATA_MUTATION;
  • SCORE_CALCULATION;
  • CONSENT_MANAGEMENT;
  • KYC_VERIFICATION;
  • SECURITY_EVENT;
  • CONFIGURATION;
  • PARTNER_API;
  • SYSTEM_OPERATION;
  • COMPLIANCE;
  • FINANCIAL_EVENT.

El uso de APIs empresariales puede registrar:

  • empresa;
  • API key identificada por ID, no el secreto;
  • método HTTP;
  • ruta;
  • parámetros limitados;
  • status code;
  • latencia;
  • tamaño de solicitud y respuesta;
  • IP;
  • user-agent;
  • consumo de rate limit;
  • código de error.

No se deben registrar secretos de API en texto plano.

Los registros de sesión pueden incluir:

  • userId;
  • deviceId;
  • hash del refresh token;
  • familia de refresh token;
  • IP;
  • user-agent;
  • geografía aproximada;
  • nivel de confianza;
  • MFA;
  • última actividad;
  • expiración;
  • revocación;
  • motivo de revocación.

Los tokens brutos no deben conservarse en logs de auditoría.

Los eventos de seguridad pueden registrar evidencia asociada a:

  • fuerza bruta;
  • credential stuffing;
  • token replay;
  • account takeover;
  • escalación de privilegios;
  • intento de exfiltración;
  • abuso de rate limits;
  • dispositivo comprometido;
  • sanciones;
  • fraude;
  • manipulación OCR.

La evidencia debe limitarse a lo necesario para investigar y responder.

El modelo AuditLog está diseñado como append-only a nivel de aplicación.

DataCred no afirmará que un log es criptográficamente inmutable o encadenado por hash salvo que esa propiedad exista realmente en el sistema concreto que generó el registro.

Los logs no deben utilizarse como depósito indiscriminado de:

  • contraseñas;
  • seed phrases;
  • claves privadas;
  • API keys completas;
  • refresh tokens brutos;
  • CVV;
  • imágenes biométricas;
  • documentos completos;
  • payloads innecesarios.

El acceso a logs sensibles se limita por rol, permiso y finalidad.

Una persona con acceso administrativo no obtiene derecho a consultar logs por curiosidad.

La retención se rige por la Política de Retención y Supresión de Datos.

Como regla operativa vigente:

  • logs operativos pueden conservarse hasta 2 años;
  • logs de cumplimiento pueden conservarse hasta 10 años cuando exista una finalidad jurídica válida;
  • eventos de seguridad tienen su propio ciclo de retención;
  • reglas especiales más cortas prevalecen cuando la ley o la política lo exijan.

Cuando un log contenga datos personales, el titular conserva los derechos aplicables.

El acceso del titular puede limitarse cuando revelar determinado detalle comprometa:

  • seguridad;
  • secretos técnicos;
  • derechos de terceros;
  • una investigación en curso;
  • controles antifraude.

Los logs pueden utilizarse como evidencia interna o externa cuando exista una finalidad legítima.

Su valor debe evaluarse según:

  • origen;
  • integridad;
  • contexto;
  • timestamp;
  • identificador de actor;
  • sistema generador;
  • consistencia con otras fuentes.

Esta política se interpreta conforme a la Ley 1581 de 2012, la Ley 527 de 1999 y demás normas colombianas aplicables.

DataCred Tech S.A.S.

NIT 902112751-6