Este documento describe las prácticas de seguridad aplicadas por NEXO para proteger la información de usuarios, conductores y la integridad del servicio, en el marco del Registro Nacional de Aplicaciones Digitales para Transporte de Pasajeros (ATT).
1. Objetivo
Proteger la confidencialidad, integridad y disponibilidad de los datos y del servicio de intermediación de transporte, reduciendo riesgos de acceso no autorizado, manipulación indebida, pérdida de información y uso fraudulento de las aplicaciones.
2. Arquitectura general de seguridad
- Las aplicaciones móviles se comunican con el backend de NEXO mediante canales cifrados HTTPS (TLS).
- La información operativa principal (usuarios, viajes, tarifas, configuración) se almacena en la base de datos del servidor de la plataforma.
- Funciones de autenticación, notificaciones y/o seguimiento en tiempo casi real pueden apoyarse en servicios de infraestructura reconocidos (por ejemplo, Firebase / Google Cloud y OneSignal), configurados para el proyecto NEXO.
- El acceso al panel de administración está restringido a personal autorizado mediante credenciales individuales.
3. Autenticación y control de acceso
- Los usuarios acceden mediante credenciales propias (teléfono/correo y contraseña) y/o métodos habilitados (OTP, Google Sign-In).
- Las sesiones de API se gestionan con tokens o mecanismos equivalentes del backend; el cierre de sesión invalida el acceso desde la app.
- Los perfiles pasajero y conductor tienen permisos diferenciados: un pasajero no puede operar funciones exclusivas de conductor y viceversa.
- El personal administrativo solo accede a módulos necesarios para la operación (principio de mínimo privilegio).
- Se recomienda y se procura el uso de contraseñas no triviales; las credenciales de administración no se comparten públicamente.
4. Protección de datos en tránsito y en reposo
- En tránsito: comunicaciones app–servidor por HTTPS.
- En reposo: datos en servidor y/o servicios cloud bajo controles del hosting y de los proveedores (Firebase/Google, etc.).
- Las claves de API, tokens de servicios y credenciales de infraestructura se mantienen fuera del código público de las tiendas de aplicaciones, en configuración de servidor o variables de entorno.
- No se publican contraseñas de base de datos, llaves privadas ni archivos de service account en repositorios abiertos.
5. Seguridad de las aplicaciones móviles
- Distribución prevista a través de tiendas oficiales (Google Play y/o otras habilitadas), con firmado de la aplicación.
- Solicitud de permisos del dispositivo (ubicación, cámara, notificaciones) solo para funciones del servicio, con posibilidad de revocación por el usuario.
- Actualizaciones de la app se publican para corregir fallos y mejorar seguridad.
- Se evita exponer información sensible innecesaria en pantallas compartibles o logs de depuración en producción.
6. Seguridad operativa del servicio de transporte
- Registro y verificación de conductores y vehículos conforme a los requisitos de la operación y la normativa aplicable.
- Cuando corresponda, verificación de habilitación del conductor (por ejemplo, Tarjeta de Identificación del Conductor – TIC u otros documentos exigidos).
- Trazabilidad de solicitudes y viajes (origen, destino, estados, fechas) para soporte, reclamos y requerimientos de autoridad.
- Canales de contacto / reclamos a disposición de los pasajeros a través de la plataforma o correo de contacto.
- Posibilidad de suspender o deshabilitar cuentas ante indicios de fraude, abuso o riesgo a la seguridad de las personas.
7. Monitoreo, respaldos e incidentes
- Se realizan respaldos periódicos de la información crítica del sistema según las capacidades del hosting.
- Se revisan fallos reportados por usuarios y registros técnicos para detectar anomalías.
- Ante un incidente de seguridad relevante (acceso no autorizado, filtración o indisponibilidad grave), NEXO actuará para contener el evento, restaurar el servicio y, cuando corresponda, informar a usuarios y/o autoridades según la ley.
- Contacto de incidentes / seguridad: contacto@movilnexo.com
8. Personal y terceros
- El acceso a información de usuarios se limita al personal que necesita conocerla para operar o dar soporte.
- Los proveedores tecnológicos se utilizan bajo sus propios controles de seguridad y contratos/condiciones de servicio.
- La información entregada a autoridades se limita a lo legalmente requerido.
9. Cumplimiento y mejora continua
- NEXO alinea estas prácticas con el Decreto Supremo Nº 5199 y la reglamentación de la ATT sobre Aplicaciones Digitales para Transporte de Pasajeros.
- Estas prácticas se revisan y actualizan cuando cambian la plataforma, los proveedores o los requisitos regulatorios.
- La versión vigente de este documento se publica en esta URL.
10. Limitaciones
Ningún sistema es 100 % invulnerable. Estas prácticas reducen riesgos de forma razonable según el estado de la tecnología y el tamaño de la operación. Los usuarios también deben proteger sus dispositivos, no compartir códigos OTP ni contraseñas, y mantener actualizado el sistema operativo.