1. Objeto y alcance

Estos Estándares de Seguridad establecen las medidas mínimas que deben observar KOBRA y sus Usuarios para disminuir riesgos de acceso no autorizado, fraude, suplantación, modificación indebida de datos, fuga de información e interrupciones que afecten la Plataforma.

El documento forma parte integrante de los Términos y Condiciones de KOBRA y es aplicable a toda persona natural o jurídica que mantenga una Cuenta KOBRA.

2. Principios generales de seguridad

3. Obligaciones mínimas del Usuario

El Usuario debe:

• custodiar su clave de acceso y no compartirla con terceros;
• utilizar los mecanismos de verificación adicional que KOBRA ponga a su disposición;
• mantener actualizados y bajo su control el correo electrónico y teléfono registrados;
• verificar que la Cuenta Bancaria registrada sea de su titularidad;
• revisar inmediatamente las notificaciones relativas a cambios de Cuenta Bancaria, correo, teléfono, datos de identidad o recuperación de Cuenta;
• proteger los dispositivos desde los que ingresa a KOBRA mediante bloqueo de pantalla, sistema operativo actualizado y medidas razonables contra software malicioso;
• evitar ingresar desde equipos públicos o redes no confiables cuando vaya a ejecutar acciones sensibles;
• informar de inmediato cualquier acceso no autorizado, vulnerabilidad crítica, filtración, intento de suplantación o fraude;
• abstenerse de realizar actos destinados a vulnerar, probar sin autorización, alterar o degradar la seguridad de KOBRA o de sus proveedores.

4. Acceso, claves y autenticación

La Cuenta se accede mediante el correo registrado y la clave definida por el Usuario. La clave es personal e intransferible.

KOBRA puede aplicar controles adicionales para disminuir accesos no autorizados, incluidos mecanismos de verificación de correo o teléfono, limitación temporal de intentos, validaciones adicionales ante comportamientos anómalos y procedimientos de recuperación de Cuenta.

Cuando KOBRA detecte indicadores razonables de compromiso de credenciales podrá bloquear temporalmente el acceso, invalidar sesiones o solicitar una nueva verificación de identidad.

5. Verificación de cambios sensibles

Se consideran acciones sensibles, entre otras:

• cambio de Cuenta Bancaria;
• cambio de correo electrónico o teléfono;
• modificación de datos de identidad;
• recuperación de la Cuenta;
• otras acciones que puedan modificar el destino de Fondos o el control de la Cuenta.

KOBRA podrá exigir una verificación adicional antes de ejecutar estas acciones. Un cambio de Cuenta Bancaria podrá quedar sujeto a un período de espera antes de la siguiente acreditación cuando ello sea necesario para proteger al Usuario frente a modificaciones no autorizadas.

6. Seguridad de la Cuenta Bancaria

• La Cuenta Bancaria debe pertenecer al mismo Usuario titular de la Cuenta KOBRA.
• KOBRA no acreditará Fondos en cuentas de terceros.
• KOBRA podrá verificar la titularidad de la cuenta por medios idóneos antes de habilitarla o luego de un cambio.
• Todo cambio debe ser tratado como una operación de riesgo y puede generar verificación adicional.

7. Medidas de seguridad aplicadas por KOBRA

KOBRA mantiene medidas técnicas y organizativas orientadas a la protección de la información y de las operaciones. Según el componente o riesgo de que se trate, estas medidas comprenden:

• uso de HTTPS/TLS para cifrar información en tránsito entre el navegador y la Plataforma;
• controles de acceso a sistemas y administración restringida a personal autorizado;
• separación lógica de funciones y aplicación del principio de mínimo privilegio;
• registros de eventos y trazabilidad de acciones relevantes para seguridad e investigación;
• actualización de componentes, corrección de vulnerabilidades y revisión periódica de configuraciones;
• respaldos de información y procedimientos de recuperación orientados a la continuidad operacional;
• controles para detectar comportamientos anómalos, intentos de fraude y accesos no autorizados;
• procedimiento de gestión de incidentes, contención, investigación, recuperación y documentación;
• protección de datos personales conforme a la Política de Privacidad.

8. Prevención, monitoreo y respuesta frente a fraude

KOBRA podrá analizar patrones de uso y antecedentes de operaciones para detectar indicadores de fraude, suplantación, actividad incompatible con la declarada o incumplimientos legales.

Cuando existan antecedentes fundados, KOBRA podrá aplicar temporalmente medidas proporcionales, tales como:

• solicitar información o documentación adicional;
• exigir una nueva verificación de identidad o de actividad;
• limitar temporalmente acciones sensibles;
• mantener Fondos no disponibles durante el tiempo estrictamente necesario para verificar la situación;
• suspender temporalmente la Cuenta cuando exista riesgo para el Usuario, Pagadores, KOBRA o terceros.

La causa de la medida será informada al Usuario cuando ello sea legalmente procedente y no exista un deber de reserva que lo impida.

9. Parámetros de reserva y períodos de espera

Los Términos y Condiciones permiten establecer reservas preventivas destinadas a cubrir reversos, anulaciones, reembolsos o desconocimientos de operaciones según la categoría de actividad, antigüedad de la Cuenta y perfil de riesgo.

10. Actividades sometidas a supervisión especial

Determinadas actividades pueden requerir antecedentes adicionales antes de habilitar o mantener una Cuenta, debido a su mayor exposición a riesgos de fraude, origen de Fondos o cumplimiento.

Entre ellas se incluyen, sin limitarse a: compraventa de vehículos usados; obras de arte; casas de cambio o monedas virtuales; tarjetas de prepago no reguladas; plataformas de inversión no reguladas; mercado de divisas; joyerías y metales o piedras preciosas; iglesias o movimientos religiosos; fundaciones y organizaciones no gubernamentales; financiamiento de campañas políticas; agencias de viaje e inversiones turísticas; entidades domiciliadas en jurisdicciones de baja o nula tributación; y esquemas multinivel.

KOBRA podrá solicitar antecedentes adicionales, condicionar la habilitación o rechazar la incorporación cuando el riesgo no pueda ser gestionado razonablemente.

11. Reporte y gestión de incidentes

Todo Usuario debe reportar inmediatamente a KOBRA cualquiera de los siguientes eventos:

• acceso no autorizado o sospecha de pérdida de control de la Cuenta;
• cambio de datos que el Usuario no haya solicitado;
• correo, mensaje o sitio que intente suplantar a KOBRA;
• operación que el Usuario no reconozca;
• vulnerabilidad crítica o filtración de información relacionada con la Plataforma;
• evento de fraude que afecte o pueda afectar pagos o Fondos.

Los incidentes de seguridad deben reportarse a soporte@kobrafacil.com. KOBRA podrá solicitar antecedentes para investigar, contener y mitigar el incidente.

Las denuncias relacionadas con posibles delitos, incumplimientos graves o materias propias del Modelo de Prevención de Delitos deben remitirse a denuncias@kobrafacil.com.

12. Conductas prohibidas de seguridad

Está prohibido:

• compartir credenciales o permitir que terceros utilicen una Cuenta como si fueran su titular;
• intentar acceder a cuentas, servidores, datos o funciones sin autorización;
• introducir código malicioso, automatizaciones abusivas o mecanismos destinados a eludir controles;
• realizar pruebas de penetración o explotación de vulnerabilidades sin autorización escrita de KOBRA;
• alterar, falsificar o manipular comprobantes, registros o datos de operaciones;
• usar la Plataforma de manera que pueda comprometer la seguridad o disponibilidad de KOBRA o de proveedores terceros.

El incumplimiento puede dar lugar a suspensión, bloqueo o terminación conforme a los Términos y Condiciones, además de las responsabilidades legales que correspondan.

13. Continuidad operacional y proveedores

Los pagos y acreditaciones dependen, en parte, de infraestructura bancaria, redes de telecomunicaciones y proveedores tecnológicos externos. KOBRA aplica medidas razonables de continuidad, respaldo y recuperación sobre los componentes bajo su control, pero no puede garantizar la disponibilidad ininterrumpida de sistemas de terceros.

Cuando una indisponibilidad relevante afecte la operación, KOBRA procurará adoptar medidas de contingencia y comunicar la situación a los Usuarios cuando corresponda.

14. Revisión, modificación y versiones

KOBRA revisará periódicamente estos Estándares y podrá modificarlos cuando cambien los riesgos, la arquitectura tecnológica, los servicios de pago, los controles internos o la normativa aplicable.

Las modificaciones se publicarán indicando número de versión y fecha. Cuando afecten significativamente las obligaciones del Usuario, KOBRA informará por correo electrónico y publicará la versión actualizada con al menos 15 días de anticipación a su entrada en vigencia, conforme a los Términos y Condiciones.

KOBRA conservará las versiones anteriores de este documento.

15. Canales oficiales