Preguntas relacionadas a la Seguridad del producto Clock-In

ÍNDICE

01. ¿Dónde se hospeda el TOTVS RRHH Clock-In?

El TOTVS RRHH Clock-In se hospedado en la nube de Carol, que utiliza Google como Cloud Provider. Los datos y servidores utilizados se ubican en los Estados Unidos.

02. ¿La solución se integra con soluciones de ERP on-premise?

Sí. TOTVS RRHH Clock-In utiliza la herramienta TOTVS Connect que se ejecuta on-premisse, con el objetivo de sincronizar los datos del entorno on-premisse a la nube de Carol. El diagrama de comunicación puede consultarse en este enlace.

No es necesaria la configuración DMZ siendo que Carol Connect es el agente que se ejecuta en la infraestructura del cliente con el objetivo de enviar los datos a la nube de Carol.

03. Datos sincronizados del ERP

Los datos necesarios por el Clock-In se vinculan a los empleados y a las imágenes (si estuviera disponible). En este enlace puede ver la lista completa de tablas necesarias, considerando la línea de producto que utiliza.

04. Protocolo de comunicación

Carol y TOTVS RRHH Clock-In utilizan protocolo de comunicación encriptado (HTTPS) con soporte TLS 1.3, 1.2, 1.1 y 1.0.

05. Cuál es el período de almacenamiento de los datos

Los datos se almacenan en Carol de acuerdo con la legislación vigente, hasta por 5 años después de la desvinculación del empleado.

En caso de solicitud del titular para que se eliminen los datos después del período de protección de las informaciones, es necesaria la apertura de un ticket por el cliente informando cuál es el RCPF y nombre del titular para efectuar el proceso de borrado de las informaciones.

06. Criptografía en el almacenamiento

Los datos se encriptan a nivel de hardware, evitando que el hardware de almacenamiento se utilice/lea por personas no autorizadas.

07. Formas de autenticación

TOTVS RRHH Clock-In permite el login por medio de usuario y contraseña, pudiendo utilizarse el login por medio del código mágico enviado por SMS/E-mail, válido solamente por 5 minutos. Este recurso permite la generación de una contraseña provisional con validez corta para un login más seguro y sin la necesidad de recordar contraseñas. 

El producto TOTVS RRHH Clock-In no tiene soporte al segundo factor de autenticación (2FA/MFA).

08. Acceso a las aplicaciones y a los datos

TOTVS RRHH Clock-In permite definir reglas para visualización de los datos, permitiendo de esta manera que algunas personas tengan acceso restringido a ciertos datos. Con este recurso, es posible definir que una cierta estructura (departamento/sección) visualice solamente los datos pertenecientes al referido departamento/sección. La restricción de acceso a los datos funciona de dos formas:

• Cuando no existe configuración de restricción, utiliza el principio permisivo. De esta manera, todos los usuarios pueden visualizar todos los datos.
• Una vez que existe un grupo de acceso a los datos definidos, utiliza el principio restrictivo. De esta manera, para que los usuarios tengan acceso a los datos es necesario colocar al usuario en un grupo de acceso.

TOTVS RRHH Clock-In no permite restringir aplicaciones - sin embargo es posible configurar solamente algunos grupos para acceder a la herramienta Back Office, que permite el monitoreo y configuración de la solución.

09. Gestión de usuarios

TOTVS RRHH Clock-In permite visualizar/consultar los usuarios, último acceso, grupos de acceso a los datos, estatus del usuario. Es posible restringir dominios que podrán acceder a la plataforma, así como recibir notificaciones en el momento en el que nuevos usuarios son invitados y creados. Los usuarios pueden desactivarse si fuera necesario.

10. Log de monitoreo de la solución

La herramienta tiene algunas rutinas, y todas estas efectúan la generación de una actividad para monitorear el inicio, final y detalles de la ejecución. A continuación se listan las actividades más importantes del producto:

• Capacitación/generación de la base de imágenes.
• Generación del número secuencial de registro (NSR).
• Validación de fraude
• Envío de los recibos de registro (E-mail/SMS).

11. En dónde se almacenan los datos biométricos (hash de las imágenes) en el Clockin

Los datos que activamos de encodings (hashes) se almacenan en los servidores de Carol (nube de Google) y también en los dispositivos para reconocimiento off-line.

Los encodings se generan por medio de las imágenes, y no son informaciones estructuradas, de esta manera no hay datos de tamaño de rostro, entre otras, son secuencias de números que representan el rostro de forma numérica. Estos datos no pueden convertirse en imágenes.

12. Copia de seguridad de la Plataforma Carol

Las copias de seguridad se almacenan en buckets de Google con criptografía en la capa de almacenamiento provista por Google.

13. ¿Cuáles son los campos utilizados en las integraciones del Clockin?

Integración ERP RM vs. Clockin (RM): https://tdn.totvs.com/display/TCI/TOTVS+RM

Integración Clockin vs. Clockin vs. Mobile:

• RCPF del empleado 
• Nombre del empleado 
• Coordenadas (latitud y longitud) de las direcciones vinculadas al empleado o la ubicación o empresa donde este se encuentra vinculado  
• Grupo de sección del empleado 
• Código de sección del empleado 
• Código de ubicación
• Estado/Prov/Reg (UF) del empleado 
• Fecha de desvinculación
• Despedido (Sí/No)
• Teléfono del empleado 
• Archivo de imagen (Encodings): archivo con los hashes (codificación a partir de la imagen) de las imágenes de los empleados. Por medio de los códigos hashes no es posible llegar a las imágenes de los empleados. 
• Archivo de imagen (names): archivo con nombre y RCPF de los empleados que tienen hashes en el archivo de encodings - encriptado 

Integración Mobile vs. Clockin:

• Informaciones del registro:
• Fecha y hora del registro:
• Código del dispositivo donde se efectuó el registro
• RCPF del empleado que efectuó el registro
• Coordenadas del registro
• Precisión de la coordenada del registro 
• Nombre de la aplicación donde se efectuó el registro
• Versión de la aplicación
• Origen de la fecha/hora del registro (Web/GPS o Dispositivo)
• Teléfono
• Conjunto de Coordenadas registradas para el empleado y vinculadas a la ubicación o empresa en la que este se encuentra vinculado
• Grupo de evento donde se realizó el registro
• Imagen del registro 
• Tipo de registro efectuado (RCPF, reconocimiento facial, QR-code, "liveness", intentos)
• Hash calculado para la imagen que se obtuvo para el reconocimiento facial
• Código de sección
• Fecha del archivo de imagen utilizado 
• Archivo de imagen utilizado 
• Diferencia entre la fecha/hora del registro con relación a la fecha y hora del GPS 
• Código de la ubicación del empleado 
• Indica si el empleado estaba utilizando la aplicación "Fake GPS" (Android)
• Código de IMEI
• GMT del dispositivo utilizado en el momento del registro
• Indica si el empleado está dentro o fuera del perímetro utilizado por el entorno
• Indica si el empleado estaba con la configuración Fecha/Hora automática deshabilitada/habilitada
• Usuario conectado al dispositivo
• Informaciones del dispositivo del registro:
• Estado de la aplicación en el Device (foreground/background)
• Marca del dispositivo
• Código del dispositivo
• Descripción del dispositivo
• Escala de la fuente del dispositivo
• Storage libre del dispositivo
• IMEI del dispositivo
• Modelo del dispositivo
• Pixel Ratio dispositivo
• Código del historial del dispositivo
• Sistema operativo del dispositivo
• Versión del sistema operativo del dispositivo
• Estatus de la biblioteca visión del dispositivo
• Versión de la biblioteca visión del dispositivo
• Dimensiones de la ventana del Device 
• Fecha/Hora del sincronismo 
• Quien efectuó el login del usuario 
• Cuántos clockins se integraron 
• Ubicación del dispositivo
• Descripción de la ubicación 
• Nombre de la aplicación
• Versión de la aplicación
• Servicio del Google Play Activo (Sí/No)
• Indica si el empleado estaba con la configuración Fecha/Hora automática 
• Diferencia entre la fecha/hora del registro con relación a la fecha y hora del GPS

Integración Clockin vs. ERP:

• Imagen del registro 
• Código del dispositivo donde se efectuó el registro
• Fecha y hora del registro:
• Código de IMEI
• Nombre de la aplicación donde se efectuó el registro
• PIS
• Descripción del dispositivo
• Nombre del empleado 
• Origen de la fecha/hora del registro (Web/GPS o dispositivo)
• Fecha y hora del registro:
• Coordenadas del registro
• Precisión de la coordenada del registro 
• Indica si el empleado está dentro o fuera del perímetro utilizado por el entorno
• Usuario conectado al dispositivo
• NSR 
• Teléfono 
• Tipo de registro efectuado (rcpf, reconocimiento facial, QR-code, "liveness", intentos)
• Código de la ubicación del empleado 
• RCPF del empleado que efectuó el registro
• Cuál fue el hash calculado para la imagen que se obtuvo para el reconocimiento facial
• Código de la ubicación del empleado 
• Versión de la aplicación
• Fecha/Hora del recibo enviado 
• Imagen del recibo 
• Nombre del usuario que efectuó el login
• GMT del dispositivo utilizado en el momento del registro
• Indica si el empleado estaba con la configuración Fecha/Hora automática deshabilitada/habilitada
• Diferencia entre la fecha/hora del registro con relación a la fecha y hora del GPS 
• E-mail del empleado 
• Indica si el empleado estaba utilizando la aplicación "Fake GPS" (Android)
• TAX Id del dispositivo que está efectuando el registro
• Score del registro
• Conjunto de Coordenadas registradas para el empleado y vinculadas a la ubicación o empresa en la que este se encuentra vinculado
• Grupo de evento donde se realizó el registro
• Fecha/Hora de procesamiento del NSR
• Usuario conectado al dispositivo
• Fecha del archivo de imagen utilizado 
• Archivo de imagen utilizado