Política de Gestión de Cuentas

1. Alcance y Descripción General

Esta sección establece los principios fundamentales y el alcance de nuestro marco de gestión de cuentas, definiendo cómo se gestionan las cuentas de usuario en toda la plataforma.

Esta Política de Gestión de Cuentas define los procedimientos, requisitos de seguridad y controles de acceso para las cuentas de usuario dentro de nuestra plataforma de aplicación Blazor. Esta política rige la creación de cuentas, autenticación, control de acceso basado en roles, gestión de equipos y gestión del ciclo de vida de cuentas.

1.1 Objetivos de la Política

Describe los objetivos clave y principios que guían todas las decisiones e implementaciones de gestión de cuentas.

• Asegurar acceso seguro y controlado a los recursos de la plataforma
• Implementar control de acceso basado en roles con permisos granulares
• Mantener rastros de auditoría para todas las actividades relacionadas con cuentas
• Proporcionar procedimientos claros para recuperación y eliminación de cuentas
• Establecer marcos de gestión de equipos y colaboración

2. Creación y Registro de Cuentas

Detalla los procesos y requisitos para crear nuevas cuentas de usuario, incluyendo métodos de registro y procedimientos de verificación.

2.1 Métodos de Registro de Cuenta

Describe las diversas formas en que los usuarios pueden crear cuentas en la plataforma, incluyendo tanto registro directo como autenticación de terceros.

Registro Principal:

• Correo/Contraseña: Registro directo con verificación de correo requerida
• OAuth de Google: Inicio de sesión único usando autenticación de Google (no se requiere verificación adicional)
• OAuth de Facebook: Inicio de sesión único usando autenticación de Facebook (no se requiere verificación adicional)

Proceso de Registro:

1. Registro Inicial: El usuario proporciona correo y crea contraseña o usa OAuth
2. Verificación de Correo: Correo de confirmación enviado a la dirección registrada (solo para registro correo/contraseña)
3. Activación de Cuenta: Cuentas de correo/contraseña activadas después de confirmación de correo; cuentas OAuth activadas inmediatamente
4. Integración con Stripe: Registro de cliente creado automáticamente en el sistema Stripe
5. Proceso de Bienvenida: Usuario guiado a través de configuración inicial e introducción de características

2.2 Requisitos de Contraseña

Establece los estándares de seguridad y requisitos de complejidad para las contraseñas de usuario para asegurar la protección de la cuenta.

2.3 Verificación de Cuenta

Describe los procesos de verificación requeridos para confirmar la identidad del usuario y activar la funcionalidad de la cuenta.

• Verificación de Correo: Requerida solo para registro correo/contraseña
• Verificación OAuth: No se requiere verificación adicional para OAuth de Google/Facebook
• Estado de Cuenta: Cuentas de correo/contraseña no verificadas tienen funcionalidad limitada
• Vencimiento de Verificación: Enlaces de verificación de correo expiran después de 24 horas

3. Autenticación y Seguridad de Inicio de Sesión

Define las medidas de seguridad y protocolos que protegen las cuentas de usuario durante la autenticación y gestión de sesiones.

3.1 Métodos de Autenticación

Especifica los mecanismos de autenticación soportados y sus detalles de implementación técnica.

Métodos de Inicio de Sesión Soportados:

• Correo electrónico y contraseña con ASP.NET Core Identity
• Autenticación OAuth 2.0 de Google
• Autenticación OAuth 2.0 de Facebook

Configuración de Autenticación:

3.2 Gestión de Sesiones

Establece políticas para gestionar sesiones de usuario, incluyendo duración, seguridad y procedimientos de validación.

• Duración de Sesión: 24 horas de inactividad antes del cierre de sesión automático
• Cookies Seguras: Todas las cookies de autenticación aseguradas con HTTPS
• Validación de Sesión: Validación continua del estado de autenticación
• Sesiones Concurrentes: Múltiples sesiones permitidas pero rastreadas por seguridad

3.3 Manejo de Autenticación Fallida

Detalla los procedimientos para manejar intentos de inicio de sesión fallidos y proteger contra ataques de fuerza bruta.

• Política de Bloqueo: Bloqueo de cuenta después de múltiples intentos fallidos de inicio de sesión
• Monitoreo: Intentos fallidos de inicio de sesión registrados y monitoreados
• Alertas: Patrones inusuales de inicio de sesión activan alertas de seguridad
• Recuperación: Recuperación de cuenta a través de dirección de correo verificada

4. Control de Acceso Basado en Roles (RBAC)

Define el marco integral para gestionar permisos de usuario y niveles de acceso en toda la plataforma.

4.1 Arquitectura de Roles

Establece la estructura de roles de usuario y sus niveles de acceso correspondientes dentro del sistema.

Roles del Sistema Predefinidos:

• Propietario de Cuenta: Acceso administrativo completo a la cuenta y todos los recursos
• Administrador: Acceso completo a características de cuenta y gestión de equipos
• Editor Experto: Puede configurar los avatares de IA que responden a comunicaciones de clientes
• Editor de Respuestas: Puede autorizar respuestas automáticas, hacer ediciones y proporcionar notas a la IA sobre calidad de respuestas
• Lector: Puede ver el panel y leer conversaciones generadas por la IA

Nota: Roles predefinidos adicionales pueden estar disponibles según los requisitos de la plataforma.

4.2 Granularidad de Permisos

Detalla los permisos específicos disponibles dentro del sistema y cómo pueden ser asignados a diferentes roles.

Grupos de Permisos:

• Cuenta: Permisos relacionados con gestión de cuenta, facturación y funciones administrativas
• Experto: Permisos para configurar avatares de IA, plantillas de respuesta y configuraciones de comportamiento de IA
• Integraciones: Permisos para conectar y gestionar integraciones de plataformas de redes sociales
• Interacciones: Permisos para gestionar comunicaciones de clientes, respuestas y supervisión de conversaciones

Control de Acceso a Integraciones:

• Permisos Agnósticos de Plataforma: Los permisos no son específicos para plataformas individuales de redes sociales
• Restricciones a Nivel de Usuario: Los miembros del equipo pueden ser restringidos para trabajar en integraciones específicas
• Asignación Flexible: Los usuarios pueden tener acceso a múltiples integraciones basado en asignaciones de equipo
• Control Granular: El acceso a integraciones puede ser controlado a nivel de usuario individual dentro de equipos

4.3 Creación de Roles Personalizados

Describe la funcionalidad para crear y gestionar roles personalizados adaptados a necesidades organizacionales específicas.

• Constructor de Roles: Los administradores pueden crear roles personalizados
• Matriz de Permisos: Interfaz de asignación de permisos granulares
• Plantillas de Roles: Plantillas de roles preconfiguradas para casos de uso comunes

5. Gestión de Equipos

Describe el marco para organizar usuarios en equipos y gestionar acceso colaborativo a recursos de la plataforma.

5.1 Estructura de Equipos

Define cómo se organizan los equipos y cómo se relacionan con el acceso a recursos y permisos de usuario.

• Creación de Equipos: Los propietarios de cuenta pueden crear múltiples equipos
• Acceso Inter-Equipos: Los usuarios pueden pertenecer a múltiples equipos con diferentes roles
• Recursos de Equipo: Los recursos pueden ser asignados a equipos específicos
• Asignación de Integración: Los miembros individuales del equipo pueden ser restringidos a integraciones específicas

5.2 Gestión de Miembros de Equipo

Detalla los procesos para invitar, gestionar y remover miembros del equipo de la plataforma.

Proceso de Invitación:

1. Invitación: Administrador de equipo envía invitación por correo electrónico
2. Registro: Invitado crea cuenta o usa cuenta existente
3. Asignación de Rol: Rol específico asignado durante la invitación
4. Aceptación: Invitado acepta invitación para unirse al equipo
5. Activación de Acceso: Permisos activados inmediatamente al aceptar

Gestión de Miembros:

• Modificación de Rol: Administradores de equipo pueden cambiar roles de miembros
• Suspensión de Acceso: Suspensión temporal de acceso sin remoción
• Remoción de Miembro: Remoción completa del equipo y acceso a recursos
• Rastro de Auditoría: Todos los cambios de equipo registrados con marcas de tiempo y actores

5.3 Permisos de Equipo

Especifica cómo se aplican los permisos a nivel de equipo y cómo habilitan flujos de trabajo colaborativos.

• Acceso a Recursos: Los equipos tienen acceso a integraciones específicas de redes sociales
• Gestión de Contenido: Creación y gestión de contenido basado en equipos
• Analíticas: Analíticas y reportes específicos del equipo
• Colaboración: Espacios de trabajo compartidos y características colaborativas

6. Gestión del Ciclo de Vida de Cuentas

Cubre el ciclo de vida completo de las cuentas de usuario desde activación hasta eliminación, incluyendo todos los estados intermedios y transiciones.

6.1 Activación de Cuenta

Describe los diversos escenarios y procesos para activar cuentas de usuario después de creación o suspensión.

• Cuentas Nuevas: Activadas después de verificación de correo (correo/contraseña) o inmediatamente (OAuth)
• Cuentas Suspendidas: Reactivadas por administradores
• Cuentas Bloqueadas: Desbloqueadas después de verificación de seguridad
• Cuentas Expiradas: Reactivadas con aceptación de términos actualizados

6.2 Suspensión de Cuenta

Describe los diferentes tipos de suspensión de cuenta y los procedimientos para restricción temporal de acceso.

• Suspensión Temporal: Acceso a cuenta temporalmente deshabilitado
• Suspensión por Violación: Suspendida por violaciones de términos de servicio
• Suspensión de Seguridad: Suspendida por preocupaciones de seguridad
• Proceso de Reactivación: Proceso claro para restauración de cuenta

6.3 Proceso de Eliminación de Cuenta

Detalla el proceso inmediato y permanente para remover cuentas de usuario y datos asociados de la plataforma.

Eliminación Iniciada por Usuario:

1. Solicitud de Eliminación: Usuario inicia eliminación a través de configuraciones de cuenta
2. Múltiples Advertencias: Sistema proporciona múltiples advertencias de confirmación para prevenir eliminación accidental
3. Eliminación Inmediata: Cuenta y datos son eliminados permanentemente inmediatamente al confirmar finalmente
4. Remoción de Correo: Dirección de correo del usuario es eliminada inmediatamente de Klaviyo
5. Manejo de Stripe: ID de cliente de Stripe es retenido temporalmente y marcado como eliminado en la app

Alcance de Eliminación:

• Perfil de Usuario: Remoción completa de perfil y datos de autenticación
• Datos de Redes Sociales: Todas las publicaciones, mensajes y respuestas generadas eliminadas
• Membresías de Equipo: Usuario removido de todos los equipos y roles
• Acceso a Integraciones: Todas las conexiones de plataformas de redes sociales terminadas
• Datos del Sistema: Referencias de usuario removidas de registros (donde sea legalmente posible)
• Datos de Klaviyo: Dirección de correo eliminada inmediatamente del sistema Klaviyo

6.4 Recuperación de Cuenta

Especifica que las cuentas eliminadas no pueden ser recuperadas debido a la eliminación permanente inmediata.

• Sin Recuperación: Las cuentas eliminadas no pueden ser recuperadas
• Eliminación Permanente: Todos los datos son removidos permanentemente inmediatamente
• Sistema de Advertencias: Múltiples advertencias previenen eliminación accidental
• Creación de Nueva Cuenta: Los usuarios deben crear nuevas cuentas si es necesario

7. Integración con Stripe y Facturación

Define la integración con el procesamiento de pagos de Stripe y cómo se gestiona la información de facturación a lo largo del ciclo de vida de la cuenta.

7.1 Creación de Cuenta de Cliente

Describe la creación automática y sincronización de registros de cliente con el sistema de facturación de Stripe.

• Creación Automática: Cliente de Stripe creado para cada nueva cuenta
• Sincronización de Correo: Correo de cliente sincronizado con correo de cuenta
• Almacenamiento de ID de Cliente: ID de cliente de Stripe almacenado en perfil de usuario
• Información de Facturación: Los usuarios pueden llenar información de facturación a través de nuestra interfaz
• Almacenamiento en Stripe: Toda la información de facturación, métodos de pago y facturas son almacenados por Stripe
• Sin Almacenamiento Local: No almacenamos información de facturación localmente

7.2 Gestión de Facturación

Detalla las características de facturación de autoservicio disponibles para los usuarios para gestionar su suscripción e información de pago.

• Gestión de Suscripción: Los usuarios pueden gestionar suscripciones a través de la interfaz de la plataforma
• Acceso a Facturas: Los usuarios pueden ver y descargar facturas (recuperadas de Stripe)
• Métodos de Pago: Los usuarios pueden agregar/remover métodos de pago (gestionado por Stripe)
• Historial de Facturación: Historial completo de facturación accesible a través de integración con Stripe
• Edición de Información: Los usuarios pueden editar información de facturación a través de nuestra interfaz, que es enviada a Stripe
• Integración con Stripe: Todos los datos de facturación son almacenados y gestionados por Stripe, no localmente

7.3 Eliminación de Cuenta y Facturación

Explica cómo se maneja la información de facturación cuando las cuentas son eliminadas, incluyendo requisitos legales de retención.

• Retención de Cliente: ID de cliente de Stripe retenido temporalmente y marcado como eliminado
• Purga Retrasada: Datos de cliente de Stripe purgados después de liquidación de facturación y finalización de facturas
• Preservación de Facturas: Todas las facturas preservadas en Stripe para requisitos legales/fiscales
• Datos de Pago: No se almacenan datos de tarjetas de pago en nuestros sistemas
• Consultas de Facturación: Soporte para consultas relacionadas con facturación a través de integración con Stripe

8. Gestión de Integración de Redes Sociales

Cubre la gestión segura de conexiones a múltiples plataformas de redes sociales y permisos asociados.

8.1 Autorización de Integración

Detalla el proceso de autorización basado en OAuth para conectar a plataformas de redes sociales y gestionar tokens de acceso.

• Flujo OAuth: Flujo estándar OAuth 2.0 con plataformas soportadas
• Alcances de Permisos: Solicitudes de permisos granulares para características específicas
• Gestión de Tokens: Almacenamiento y gestión segura de tokens de acceso
• Manejo de Actualización: Actualización automática de tokens y manejo de errores

8.2 Integraciones de Plataformas Soportadas

Lista todas las plataformas de redes sociales soportadas y sus capacidades específicas de integración.

Plataformas Soportadas:

• Páginas de Negocio de Facebook: Gestión de publicaciones y respuestas a comentarios
• Mensajes Directos de Facebook: Automatización de mensajería de páginas de negocio
• Publicaciones de Instagram: Gestión de publicaciones a través de páginas de negocio de Facebook
• Mensajes Directos de Instagram: Automatización de mensajes y respuestas
• WhatsApp Business: Mensajería de negocio y comunicación con clientes
• YouTube: Gestión de canales y respuestas a comentarios
• BOT de Telegram: Gestión de bots y respuestas automatizadas
• Mercado Libre: Comunicación con clientes y automatización de soporte

8.3 Conexión de Cuenta

Describe cómo los usuarios pueden conectar múltiples cuentas de redes sociales y cómo estas conexiones son verificadas y monitoreadas.

• Múltiples Cuentas: Los usuarios pueden conectar múltiples cuentas por plataforma
• Verificación de Cuenta: Verificación de propiedad de cuenta a través de OAuth
• Validación de Permisos: Validación regular de permisos otorgados
• Estado de Conexión: Monitoreo en tiempo real del estado de todas las integraciones

8.4 Seguridad de Integración

Describe las medidas de seguridad implementadas para proteger tokens de integración de redes sociales y prevenir acceso no autorizado.

• Cifrado de Tokens: Todos los tokens de acceso cifrados antes del almacenamiento
• Rotación de Tokens: Validación y actualización regular de tokens
• Auditoría de Permisos: Auditoría regular de permisos solicitados
• Monitoreo de Conexión: Monitoreo de intentos de acceso no autorizado

9. Auditoría y Monitoreo

Establece sistemas integrales de registro y monitoreo para rastrear todas las actividades relacionadas con cuentas y eventos de seguridad.

9.1 Registro de Actividad de Cuenta

Especifica qué actividades de cuenta son registradas y cómo esta información es utilizada para propósitos de seguridad y cumplimiento.

• Eventos de Autenticación: Todas las actividades de inicio/cierre de sesión registradas
• Cambios de Permisos: Modificaciones de roles y permisos rastreadas
• Actividades de Equipo: Cambios de membresía de equipo registrados
• Eventos de Integración: Conexiones/desconexiones de cuentas de redes sociales registradas

9.2 Monitoreo de Seguridad

Detalla los sistemas de monitoreo proactivo implementados para detectar y responder a amenazas potenciales de seguridad.

• Actividad Sospechosa: Patrones inusuales de inicio de sesión e intentos de acceso
• Autenticación Fallida: Múltiples intentos fallidos de inicio de sesión rastreados
• Escalación de Privilegios: Cambios no autorizados de permisos detectados
• Acceso a Datos: Patrones inusuales de acceso a datos monitoreados

9.3 Reportes de Cumplimiento

Describe los procesos regulares de reportes y auditoría que aseguran el cumplimiento continuo con requisitos de seguridad y regulatorios.

• Reportes de Acceso: Reportes regulares sobre acceso y permisos de usuarios
• Métricas de Seguridad: Paneles de seguridad mensuales y KPIs
• Auditorías de Cumplimiento: Revisiones anuales de cumplimiento y certificaciones
• Reportes de Incidentes: Reportes detallados sobre incidentes de seguridad

10. Protección de Datos y Privacidad

Define cómo se manejan los datos personales, se protegen los derechos de los usuarios y se cumple con las regulaciones de privacidad en toda la plataforma.

10.1 Manejo de Datos Personales

Establece los principios y prácticas para recopilar, almacenar y procesar datos personales en cumplimiento con las regulaciones de privacidad.

• Minimización de Datos: Solo datos necesarios recopilados y almacenados
• Limitación de Propósito: Datos utilizados solo para propósitos declarados
• Mantenimiento de Precisión: Los usuarios pueden actualizar información personal
• Limitación de Almacenamiento: Datos retenidos solo el tiempo necesario

10.2 Derechos del Usuario

Describe los derechos otorgados a los usuarios respecto a sus datos personales y cómo estos derechos pueden ser ejercidos.

• Derechos de Acceso: Los usuarios pueden descargar sus datos de cuenta
• Rectificación: Los usuarios pueden corregir información inexacta
• Derechos de Eliminación: Eliminación completa de cuenta y datos
• Portabilidad: Exportación de datos en formato estructurado
• Derechos de Objeción: Los usuarios pueden objetar ciertas actividades de procesamiento

10.3 Gestión de Consentimiento

Detalla los sistemas y procesos para gestionar el consentimiento del usuario para actividades de procesamiento de datos.

• Consentimiento Explícito: Consentimiento claro para actividades de procesamiento de datos
• Retiro de Consentimiento: Los usuarios pueden retirar consentimiento en cualquier momento
• Registros de Consentimiento: Todas las acciones de consentimiento registradas y rastreadas
• Revisión Regular: Validez del consentimiento revisada y actualizada regularmente

11. Acceso de Usuario Interno

Rige cómo los empleados internos y administradores acceden a datos de clientes y recursos del sistema, asegurando controles apropiados y responsabilidad.

11.1 Controles de Acceso de Empleados

Establece el marco para gestionar el acceso de usuarios internos a recursos de la plataforma y datos de clientes.

• Acceso Basado en Roles: Usuarios internos asignados roles específicos
• Necesidad de Saber: Acceso otorgado basado en requisitos de trabajo
• Revisión Regular: Permisos de acceso revisados trimestralmente
• Proceso de Terminación: Revocación inmediata de acceso al terminar

11.2 Acceso a Datos de Cliente

Define los protocolos estrictos para acceso interno a datos de cliente, incluyendo procesos de aprobación y requisitos de auditoría.

• Acceso de Soporte: Acceso limitado para propósitos de soporte al cliente
• Proceso de Aprobación: Aprobación de gestión requerida para acceso a datos sensibles
• Rastro de Auditoría: Todas las actividades de acceso interno registradas
• Manejo de Datos: Protocolos estrictos para manejar datos de cliente

11.3 Acceso Administrativo

Describe las medidas de seguridad mejoradas y monitoreo requerido para acceso administrativo del sistema.

• Administradores de Sistema: Acceso completo al sistema con monitoreo mejorado
• Acceso a Base de Datos: Acceso restringido a base de datos con requisitos de aprobación
• Acceso de Emergencia: Procedimientos de acceso de emergencia para situaciones críticas
• Monitoreo de Acceso: Monitoreo mejorado para todas las actividades administrativas

12. Respuesta a Incidentes

Establece procedimientos para responder a incidentes de seguridad, compromisos de cuenta y violaciones de datos que afecten cuentas de usuario.

12.1 Compromiso de Cuenta

Define los procedimientos de respuesta inmediata cuando se sospecha que las cuentas de usuario han sido comprometidas.

• Detección: Detección automatizada de cuentas comprometidas
• Respuesta: Suspensión inmediata de cuenta y notificación al usuario
• Investigación: Investigación detallada de circunstancias del compromiso
• Recuperación: Proceso seguro de recuperación de cuenta

12.2 Respuesta a Violación de Datos

Describe el plan de respuesta integral para violaciones de datos que puedan afectar información de cuentas de usuario.

• Contención: Pasos inmediatos para prevenir mayor exposición de datos
• Evaluación: Evaluación detallada del alcance e impacto de la violación
• Notificación: Notificación a usuarios y reguladores según se requiera
• Remediación: Remediación integral y mejoras de seguridad

13. Cumplimiento y Revisión de Políticas

Establece el marco para mantener, actualizar y asegurar el cumplimiento con esta política de gestión de cuentas.

13.1 Actualizaciones de Política

Define el proceso para revisar y actualizar esta política para asegurar que permanezca actual y efectiva.

• Revisión Regular: Revisión y actualizaciones anuales de política
• Gestión de Cambios: Proceso formal de aprobación de cambios
• Comunicación: Cambios de política comunicados a todos los usuarios
• Capacitación: Capacitación regular sobre requisitos de política

13.2 Monitoreo de Cumplimiento

Describe los procesos continuos de monitoreo y auditoría para asegurar adherencia a los requisitos de política.

• Monitoreo Automatizado: Monitoreo continuo del cumplimiento de políticas
• Auditorías Manuales: Auditorías manuales regulares de prácticas de gestión de cuentas
• Acciones Correctivas: Acciones correctivas inmediatas para incumplimiento
• Reportes: Reportes regulares de cumplimiento a la gestión

14. Información de Soporte y Contacto

Proporciona información de contacto para varios tipos de soporte y asistencia relacionados con problemas de gestión de cuentas.

Soporte de Cuenta: account@icloneu.ai
Problemas de Seguridad y Preocupaciones de Privacidad: wecare@icloneu.ai
Soporte Técnico: support@icloneu.ai

Dirección: Calle Corbeta 21, Colonia Lomas del Chamizal, Cuajimalpa de Morelos, C.P. 05129, Ciudad de México