CONDICIONES OPERATIVAS PARA LA IMPLEMENTACION DEL SERVICIO DE REEMBOLSO EN LÍNEA “CONEXO”

El presente Acuerdo se suscribe entre

Sodexo Servicios de Beneficios e Incentivos Colombia El “Comercio Afiliado a SODEXO”.

1. Objeto del Acuerdo Determinar las actividades, los responsables y los controles a aplicar para garantizar el correcto funcionamiento del desarrollo tecnológico para la lectura, validación y reembolso en línea de los Bonos Sodexo Pass y Promosodexo, en adelante “Reembolso en Línea y/o Conexo”, en los diferentes puntos de pago del Comercio Afiliado a nivel nacional.

2. Alcance del Acuerdo Los servicios habilitados por Sodexo vía Web Services solo pueden ser utilizados por los Comercios Afiliados que cumplan con los requisitos definidos para este servicio y solamente en los puntos de venta del Comercio Afiliado, habilitados en el contrato de afiliación con Sodexo, el cual será actualizado al momento de incorporación del servicio de Reembolso en Línea y cada vez que se realicen aperturas o cierres de almacenes por medio del formato de Activación , que se encuentra disponible para descarga en el pie de página de la plataforma de servicio en línea, términos y condiciones Conexo, menú desplegable Anexo 1.

Se podrán reembolsar en línea Bonos Sodexo autorizados en el contrato de Afiliación y los PromoSodexo en los que el Comercio Afiliado haga parte de la red de comercios autorizados para el Reembolso en Línea.

La Validación en línea en el momento de la venta contempla las validaciones de las características lógicas para los Bonos y Promos Sodexo tales como:

o Producto autorizado para el Comercio Afiliado y punto de venta.o Validación del Código de Barras de los Bonos de 25 caracteres con estructura EAN128.o Validación del Código de Barras de los Promosodexo de 18 caracteres con estructura

EAN128.o Fecha Vencimiento.o Valor de emisión.o Tipo de Bono (Canasta Pass, Premium Pass, etc.) / Promosodexoo Estado del bono / Promosodexo (Aprobado o Rechazado y el motivo del rechazo)

El plazo de pago del reembolso no sufrirá cambio alguno y se mantiene según el contrato vigente.

Este acuerdo no incluye las Operaciones de Cancelación, éstas tienen lugar luego que se ha cerrado la venta y el cliente realiza una devolución de los productos y por ende solicita una devolución del bono.

Los reembolsos realizados en línea no podrán ser anulados una vez se culmina el reembolso en línea, ya que el establecimiento cuenta con la opción de hacer retiro parcial o total de los bonos durante el proceso de reembolso en línea.

3. Definiciones de conceptos Comercio Afiliado: Son aquellos comercios que tienen contrato y acuerdo comercial

con Sodexo para recibir Bonos Sodexo, Promosodexo, o tarjetas para alguno de los productos de Sodexo como, Canasta, Alimentación, Dotación, Gasolina, Premium, entre otros.

Reembolso en Línea: Corresponde al proceso de lectura en tiempo real que el Comercio Afiliado hace de los Bonos Sodexo o los Promosodexo en sus puntos de ventas (POS) mediante mecanismos electrónicos de lectura del código de barras.

Reembolso: Es el proceso por el cual Sodexo hace la captura de los Bonos Sodexo o Promosodexo de un Comercio Afiliado y que en consecuencia se generan un saldo a favor del Comercio Afiliado y una cuenta por pagar de Sodexo, en las condiciones acordadas en el contrato de afiliación.

Productos no autorizados: Son aquellos bonos que no se tienen contemplados como medio de pago para productos Sodexo en las negociaciones entre ambas partes. Estos bonos serán rechazados en el proceso de Reembolso en Línea.

Bonos Vencidos: Son aquellos cuya fecha de vencimiento en la plataforma de emisión de Sodexo y que aparece impresa en los bonos físicos es mayor a la fecha de Reembolso en Línea.

Bonos Falsos: Son aquellos bonos replicados en el mercado por entes o personas al margen de la ley, por lo cual dichos bonos no cumplen con las medidas mínimas de seguridad que tienen los bonos emitidos por parte de Sodexo Servicios de Beneficios e Incentivos Colombia.

Bonos Adulterados: Son aquellos bonos que son emitidos por Sodexo, pero que una vez en circulación les es modificado el valor del Bono por entes o personas ajenas al emisor del bono.

Conexo: APP desarrollada y registrada por Sodexo mediante la cual los comercios afiliados pueden realizar el reembolso en línea.

Operación de anulación: Corresponde a una reversión de bonos parcial o total, dentro de la misma venta, antes que se dé el cierre de la misma y en donde se realiza la devolución física de los bonos al cliente.

Operación de Reverso: Estas operaciones son automáticas y tienen lugar cuando se presentan fallas en la comunicación entre los sistemas de ambas partes en el proceso de la lectura de los bonos y/o se superan los tiempos de espera acordados en el desarrollo.

Código de Barras no valido o inconsistente: Hace referencia a códigos de barras que al leerlos no corresponden con la estructura definida por Sodexo o no corresponde a un bono emitido por Sodexo.

Bono ya redimido o Reembolsado: Hace referencia a un bono que ya se encuentra en estado “reembolsado “en Sodexo, es decir, que no es posible reembolsarlos nuevamente

Web Services: Servicios desarrollados por Sodexo y que serán dispuestos a los comercios afiliados para su consumo en los desarrollos realizados en las cajas de los puntos de venta.

4. Vigencia del acuerdoLa vigencia del acuerdo está sujeto a las condiciones acordadas en el contrato de afiliación, se aclara que las responsabilidades cesan cuando se venza el último bono leído a través del Reembolso en Línea más 65 días calendarios adicionales. Una vez culmine el acuerdo no se podrá seguir utilizando el Reembolso en Línea, cualquier bono recibido tendrá el proceso normal de reembolso.

5. Flujo General del Proceso En el Anexo 2 “Flujo General del proceso” se describe el proceso general definido para el Reembolso en Línea entre el Comercio Afiliado y Sodexo Servicios de Beneficios e Incentivos Colombia, este Anexo lo encontrará al final de este documento como Anexo 2.

Los motivos de rechazo en el proceso de Reembolso en Línea de los Bonos Sodexo se darán por las siguientes causas:

o Bono Vencidoo Producto no autorizado (Aquellos bonos que no están negociados entre ambas partes)o Código no Valido o inconsistenteo Bono ya redimido o reembolsado

6. Condiciones para el reembolso en línea de Bonos Sodexo

El bono debe cumplir con las siguientes características para ser recibido en los diferentes puntos de pago del Comercio Afiliado que tenga el servicio de Reembolso en Línea dentro del contrato con Sodexo:

o El bono no debe presentan tachones, rayas o manchas de tintas.o El código de barras debe estar en excelentes condiciones para la lectura y cumplir con

los estándares definidos por ambas partes.o El papel del bono no debe estar deteriorado.o Los bonos deben tener la colilla seguridad.o Los bonos no deben estar pegados, incompletos y/o con algún tipo de enmendadura.o El papel presentado no podrá ser una fotocopia de un Bono y este debe corresponder

a la imagen del producto.

En el evento que los bonos no cumplan los requisitos anteriormente mencionados, el Comercio Afiliado no recibirá los bonos e informará al cliente que debe establecer una comunicación directa con el emisor “Sodexo Servicios de Beneficios e Incentivos Colombia” con el fin de resolver cualquier inquietud. Los beneficiarios y/o clientes deben comunicarse con sodexo por cualquiera

de los siguientes medios servicioalcliente.svc.co@sodexo.com o a las líneas de servicio al cliente a nivel nacional Bogotá (1) 7431010, Cali (2) 4856431, Medellín (4) 6044051.

7. Responsabilidades A continuación de describen las responsabilidades que asumirán ambas partes para el proceso de Reembolso en Línea de los Bonos Sodexo y Promosodexo:

7.2 Responsabilidades de Sodexo

Realizar los desarrollos necesarios, habilitar y garantizar el correcto funcionamiento de los servicios, para que el Comercio Afiliado realice “Reembolso en Línea” de los Bonos y Promosodexo que se encuentran negociados entre ambas partes.

a. SODEXO garantiza una disponibilidad del 99% de la plataforma teniendo en cuenta que Semanalmente se tendrá una ventana de mantenimiento sobre el aplicativo y la base de datos en la que corre el reembolso en Línea. La ventana es de 2 horas semanales, durante las tres primeras semanas del mes.

b. Sodexo comunicará al Comercio Afiliado las ventanas programadas con 3 días de anticipación.

Habilitar esquemas de soporte mientras opere el acuerdo de Reembolso en Línea, con el fin de dar solución a las fallas técnicas que se puedan presentar en el servicio de Reembolso en Línea.

Definir conjuntamente con el Comercio Afiliado los protocolos para atención de quejas de beneficiarios de los bonos o promosodexo.

Suministrar diariamente el archivo de conciliación de los bonos redimidos en los diferentes puntos de venta del Comercio Afiliado. En la ruta previamente establecida entre ambas partes.

Sodexo Servicios de Beneficios e Incentivos Colombia trabajará con el Comercio Afiliado con el fin de implementar los mecanismosy politicas necesarias para cumplir con la política de seguridad de la información del Comercio Afiliado, la cual hará parte integral del presente acuerdo en el numeral 15 “Confidencialidad”.

Sodexo contará con máximo 65 días después del vencimiento de los bonos para realizar reclamaciones al Comercio Afiliado en aquellos casos en que se presente recepción física de Bonos en Sodexo y que previamente hayan sido pagados al Comercio Afiliado en el proceso de Reembolso en Línea, en estos casos Sodexo deberá soportar con informe de auditoría la validez del Bono en reclamación.

7.3 Responsabilidades del Comercio Afiliado.

Reportar a Sodexo a través del Ejecutivo de Afiliaciones asignado, por lo menos con 8 días de anticipación por medio del “Formato de Activación” los siguientes eventos:

o Apertura de puntos de venta para Reembolso en Línea.o Cierres temporales de puntos de venta.o Cierres definitivos de puntos de venta.

Capacitar al personal de los puntos de venta en los procedimientos definidos en caja para recepción de los bonos y Reembolso en Línea.

Garantizar que los bonos recibidos en los puntos de pago cumplan con las condiciones para el Reembolso en Línea definidas en el numeral 6 del presente acuerdo.

En la página web de Sodexo y en plataforma Servicio en Línea se encuentra el video y un documento en PDF para consultar las medidas de seguridad: https://www.sodexobeneficios.co/comercios/medidas-de-seguridad

Garantizar el control de los bonos recibidos en caja y la custodia de los mismos hasta la destrucción, evitando que los bonos puedan ser utilizados en otro establecimiento o que sean objeto de falsificación o adulteración.

El Comercio Afiliado podrá disponer del papel reciclado que se origine del proceso de destrucción.

Responder ante Sodexo por cualquier bono que haya sido redimido en línea y que posteriormente sea reportado por otro establecimiento afiliado a la red de Sodexo en original.

El Comercio Afiliado tendrá 10 días hábiles para realizar apelaciones sobre las reclamaciones realizadas por Sodexo.

El Comercio Afiliado acepta y se compromete a cumplir la política de seguridad de la información de Sodexo Servicios de Beneficios e Incentivos, la cual hará parte integral del presente acuerdo y que se encuentra disponible al final de este documento como Anexo 3. Esta será aplicable únicamente para los comercios que harán uso del consumo de los servicios vía web service.

8. Control, Custodia y Destrucción de Bonos

La custodia de los bonos reembolsados la realizará cada comercio Afiliado máximo por 15 días adicionales a la lectura y anulación de los bonos, el comercio afiliado deberá haber garantizado la conciliación del medio de pago y cierre de los días sin novedades, para esto se elaborará un acta con la relación de los bonos y los números de reembolso asociados, dicha acta deberá estar firmada por la persona que realiza la destrucción física en el punto de venta y la firma de un auditor quien realizará presencia y verificación del proceso de destrucción, este auditor será designado por el mismo punto de venta. Sodexo sugiere como máximo el término de 15 días, sin embargo, lo más aconsejable para la seguridad del proceso es la destrucción inmediata de los bonos reembolsados. Una vez reembolsados por el aplicativo Sodexo no responderá por valores que se cobren adicionales y que versen sobre los bonos en custodia del Afiliado

Para el proceso de destrucción y custodia, EL Comercio Afiliado establecerá un procedimiento y política de custodia y destrucción, la cual podrá ser consultada por Sodexo Beneficios e incentivos Colombia en el momento que sea requerida.

9. Contabilización, Facturación y pago de lecturas realizadas en línea

Sodexo registrará un reembolso diario por todas las lecturas en línea que se realicen en un punto de venta. El reembolso se abrirá con la primera transacción registrada a partir de las 00 horas del día y se cerrará a las 22:00 horas. El último día del mes se cerrará a las 21:00, todo lo registrado después de esta hora se contará como un reembolso del día siguiente.

El cierre contable del reembolso no afecta el servicio de Reembolso en Línea el cual estará habilitado las 24 horas del día salvo los casos indicados en el numeral de Responsabilidades de Sodexo, en relación con la disponibilidad.

En las fechas de cierre de facturación Sodexo (último día hábil del mes) No habrá afectación del servicio en línea y se conservara los reembolsos diarios por punto de venta.

Los cortes de facturación para pago seguirán realizándose de acuerdo con lo establecido en el contrato de afiliación.

10. Conciliación diaria Se podrá consultar los reportes requeridos a través de la plataforma de Servicio en línea, dispuesta para los comercios afiliados, ingresando con su usuario y contraseña, en la opción de reportes y determinando los parámetros requeridos en fechas.

11. Diferencia en los pagosEl Comercio Afiliado podrá realizar las consultas de los pagos correspondientes en la plataforma de Servicio en Línea, se debe tener en cuenta el corte de facturación establecido en el contrato.

En el evento de encontrarse diferencias en el pago el Comercio Afiliado enviara un correo a Servicio al Afiliado, servicioalafiliado.svc.co@sodexo.com, indicando el ID de Reembolso el valor esperado, el valor pagado y el valor de la diferencia.

Servicio al Afiliado dará respuesta dentro de los tres días hábiles siguientes al recibido de la solicitud del Comercio Afiliado.

12. Reclamaciones sobre Bonos Si un bono fuese reembolsado en línea en algún punto de venta del Comercio Afiliado y resultase que el original de ese mismo número de bono fuese recibido por otro establecimiento, Sodexo realizará las validaciones de seguridad correspondiente y de comprobarse que el bono del otro afiliado fuese auténtico, se comunicará al responsable del acuerdo en el Comercio Afiliado y se pondrá a su disposición el bono original.

SODEXO contará con 65 días después del vencimiento del bono para realizar estas reclamaciones

El Comercio Afiliado realizará las validaciones del caso y de contar con el bono físico realizará las validaciones de seguridad.

Una vez agotadas las validaciones de cada una de las partes y de confirmarse el pago erróneo del bono al Comercio Afiliado, Sodexo descontará el valor del bono en el pago del siguiente reembolso notificando la causa de la novedad en el pago.

Las validaciones correspondientes deben realizarse en un tiempo máximo de 10 días calendario.

13. Creación de Usuarios para reembolso en la APP

El Usuario Administrador del comercio Afiliado creará en la plataforma servicio en línea los usuarios autorizados para realizar reembolsos en línea a través de la APP, asociando los puntos de venta autorizados para cada usuario.

El comercio Afiliado debe mantener actualizados los usuarios, desactivando los permisos en la plataforma de Servicio en Línea de ser necesario.

El uso que los usuarios den a la APP será responsabilidad del Comercio Asociado.

El usuario debe aceptar los términos y condiciones y la política de protección de datos personales cuando ingrese por primera vez a la APP.

14. Soporte El soporte definido a continuación pretende dar solución a las fallas que se puedan presentar durante el proceso de Lectura en Línea.

Los soportes deben estar definidos en alguno de los siguientes grupos

• Funcionamiento del WS• Indisponibilidad del WS

Cada punto de venta debe comunicarse con el departamento de IT del Comercio Afiliado para descartar problemas internos (internet, caja, controladores, interno), de detectarse que la situación es originada en Sodexo, se escala el caso de la siguiente forma:

Llamar a la línea de atención al afiliado Bogotá (1) 7431010, Cali (2) 4856431, Medellín (4) 6044051 opción 5 las veinte y cuatro (24) horas, los siete (7) días de la semana o escribir al correo electrónico soporteconexo.svc.co@Sodexo.com

15. AuditoriasLas Partes acuerdan que Sodexo tendrá el derecho a inspeccionar y auditar los siguientes puntos del proceso de “Reembolso en Línea”:

Validación de medidas de seguridad en las cajas. Registros de control de los bonos recibidos en las cajas (cierre de caja). Medidas de seguridad para la custodia de los bonos Actas de destrucción

Por motivos de seguridad, Sodexo previo a la realización de la auditoria o supervisión, enviará notificación al Comercio Afiliado con al menos cuarenta y ocho (48) horas de anterioridad y mediante comunicación escrita, en la cual además deberá informar los nombres e identificaciones de las personas que realizarán las mencionadas actividades. Las auditorias se realizarán a costo de Sodexo.

Sin perjuicio de lo anterior, las actividades de supervisión, vigilancia y auditoria que Sodexo llegare a realizar, serán efectuadas de modo que no interfieran con las actividades ordinarias del Comercio Afiliado, y por lo tanto, el Comercio Afiliado sólo estará obligado a suministrar colaboración o asistencia a Sodexo, en la medida en que las actividades de supervisión o auditoria no obstaculicen de forma grave sus actividades ordinarias.

El Comercio Afiliado pondrá a disposición de Sodexo, tanto los recursos humanos como de infraestructura necesarios y requeridos por Sodexo para la realización de las auditorias pertinentes.

16. ConfidencialidadLas partes reconocen que, en la ejecución del contrato, cada una de ellas podrá adquirir información o materiales de naturaleza confidencial (receptora) o de propiedad de la otra (divulgadora), tales como actividades y operaciones comerciales, sus conocimientos, información técnica y/o sobre precios y secretos comerciales (“Información Confidencial”).

Las Partes acuerdan que se considerará Información Confidencial toda la información hasta tanto la parte divulgadora confirme por escrito que no lo es. Dentro del plazo de ejecución del acuerdo y con posterioridad por un periodo de seis (6) meses contados a partir de la fecha de terminación del presente Acuerdo, cada una de las partes ejercerá el mismo grado de cuidado que tendría con una información similar de su propiedad o un cuidado razonable como mínimo, para proteger la Información Confidencial de la otra parte y evitar

(i) el uso no autorizado en el presente Contrato de la Información Confidencial de la otra parte;

(ii) La divulgación de la Información Confidencial a un empleado o agente de la parte sin que ellos necesiten tener conocimiento de ésta y sin que dicho empleado o agente esté obligado por un acuerdo de confidencialidad con la parte receptora

(iii) La comunicación de la Información Confidencial de la otra parte a un tercero; o (iv) la publicación de la Información Confidencial de la otra parte.

Sin embargo, estas restricciones de la confidencialidad no se aplican a la información que

(i) la parte receptora conocía lícitamente antes de recibirla de la parte divulgadora; (ii) está o se vuelve disponible para el público sin que la parte receptora incurra en falta

alguna; (iii) la parte receptora recibe legítimamente de un tercero sin mediar una obligación de

confidencialidad; (iv) la parte divulgadora revela a un tercero sin una obligación de confidencialidad para

ésta;

(v) la parte receptora desarrolla independientemente sin incurrir en una violación del presente contrato; o

(vi) la parte receptora revela previa aprobación por escrito de la parte divulgadora.

Si un cuerpo gubernamental o un tribunal judicial exigen que la parte receptora revele información, ésta acepta dar aviso con suficiente antelación a la parte divulgadora de manera que ésta última pueda objetar la divulgación o solicitar una orden judicial a fin de proteger la Información Confidencial.

Por exigencia escrita de la parte divulgadora, la parte receptora

(i) dejará de usar la Información Confidencial; (ii) devolverá o destruirá, según lo especifique la parte divulgadora, la Información

Confidencial enviada a ésta, junto con todas las copias, notas o extractos de la misma, dentro de los siete (7) días hábiles contados a partir del recibo de la notificación; y

(iii) por solicitud de la parte divulgadora, certificará por escrito que la parte receptora ha cumplido con todas las obligaciones que se señalan en la presente cláusula.

17. Propiedad IntelectualToda la propiedad intelectual, incluyendo pero sin limitarse a derechos, marcas, patentes, derechos de autor, desarrollos tecnológicos, invenciones y/o secretos industriales, en adelante “Derechos de propiedad intelectual”, permanecerán de forma exclusiva, única y valiosa propiedad de cada parte, según corresponda. En consecuencia, ninguna de las partes bajo el presente contrato obtiene bajo ningún título, incluyendo pero sin limitarse a, concesión, uso, usufructo, licencia, depósito, préstamo, alquiler ni propiedad alguna sobre los derechos de propiedad intelectual, como consecuencia de la ejecución del presente contrato.

18. Terminación Unilateral del AcuerdoSodexo podrá dar por terminado unilateralmente el acuerdo de Reembolso en Línea en alguno de los siguientes eventos:

Mal uso de la herramienta, evidencia de recurrencia validaciones sin que se registre un reembolso.

Recurrencia en la recirculación de los bonos, bonos radicados en los puntos y luego allegados por otro establecimiento.

Permitir que terceros ajenos al usuario autorizado usen la aplicación móvil con su clave;

Cuando Sodexo identifique un comportamiento irregular notificará al Comercio Afiliado, quien tendrá 15 días para dar respuesta a Sodexo, subsanando la situación. En caso de no resolverse la situación Sodexo notificará la desactivación del punto, terminal o usuario según sea el caso.

19. AnexosAnexo 1. Formato de Activación puntos de venta

Anexo 2. Flujo General del Proceso

Anexo 3. Política de seguridad de la información de Sodexo

En constancia de haber leído, entendido y aceptado los anteriores términos y condiciones de uso, se suscribe el presente documento en dos ejemplares del mismo tenor en la ciudad de Bogotá a los ____ días del mes de_____ de 2019

RAZÓN SOCIAL DEL MERCHANTNOMBRE DEL REPRESENTANTE LEGAL DOCUMENTO DE IDENTIDAD

SODEXO SERVICIOS DE BENEFICIOS E INCENTIVOS COLOMBIA S.A. MANUELA ARANGO MEJIAC.C. ______________________

Anexo 2

Flujo General del Proceso

1

Si

NoDevolver el bono al

beneficiario

Aplicar valor del bono a la compra

Bono Aprobado

Validar el bono en línea en el sistema de emisión. Retornar

información indicada en el servicio

Consumir servicio Web de Sodexo

Si

Realizar lectura de los bonos uno a uno

No Indicar al beneficiario que no

se pueden recibir los bonos

Inicio

Bonos Cumplen

Recibir bonos, verificar medidas de seguridad e

imagen del producto

FLUJO GENERAL WEB SERVICES

SodexoComercio Afiliado

Fin

Realizar la destrucción de los bonos

Realizar Conciliación Realizar Pago

Descargar reporte de reembolso en línea de la plataforma de Servicio en

Línea

No

Realizar cierre de caja diario. Entregar bonos

para custodia.

Si

Devolver los bonos al beneficiario

Devolver el estado del bono a circulación

Consumir servicio Web de Sodexo

Realizar lectura de los bonos uno a uno

1

FLUJO GENERAL WEB SERVICES

SodexoComercio Afiliado

Se decide anular la compra o la forma

de pago

1

NoDevolver el bono al

beneficiarioBono

Aprobado

Validar el bono en línea en el sistema de emisión. Retornar información de aprobación,

producto, valorLeer los bonos uno a uno

Si

Ingresar a Conexo y seleccionar punto de venta

No Indicar al beneficiario que no se pueden recibir los bonos

Inicio

Bonos Cumplen

Recibir bonos, verificar medidas de seguridad e

imagen del producto

FLUJO GENERAL APP CONEXO

App SodexoComercio Afiliado

Retirar los bonos en la APP

Devolver los bonos al beneficiario

Fin

Realizar la destrucción de los bonos

Realizar Conciliación Realizar Pago

Descargar reporte de reembolso en línea de la plataforma de Servicio en

Línea

No

Enviar bonos aprobados a reembolso

SiDevolver el estado del bono a

circulación

1

¿Desea retirar bonos?

FLUJO GENERAL APP CONEXO

SodexoComercio Afiliado

Anexo 3:

Política de seguridad de Sodexo Beneficios e Incentivos Colombia S.A.

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN PARA USO DE LA PLATAFORMA CONEXO.

Índice

A. PREAMBULO 31 – Objetivo 32 – Difusión 33 – Versiones de Documentos 34 – Aprobadores 3

B. PRINCIPIOS DE SEGURIDAD PARA CONEXIÓN A LA PLATAFORMA CONEXO

4

1 – GLOSARIO 42 – MÉTODOS DE CONEXIÓN 43 – GESIÓN DE SEGURIDAD DE RED 44 – GESTIÓN DE VULNERABILIDADES 55 – GESTIÓN DE INCIDENTES DE SEGURIDAD 56 – RECOMENDACIONES DE SEGURIDAD PARA LA APLICACIÓN MÓVIL

6

A. PREAMBULO1 – OBJETIVO

Este documento establece las reglas y principios en materia de seguridad informática que deben cumplir los comercios afiliados que desean implementar la solución “Conexo”.

La adopción de estas normas de seguridad minimiza el riesgo que existe y que están relacionados con la fuga y/o robo de datos, a través de integraciones de diferentes sistemas por medio de conexiones o enlaces públicos.

2 – DIFUSION

Este documento está clasificado como “Interno”, pero puede ser compartido con proveedores, clientes, reguladores y socios de ser necesario conocerlo.

3 – VERSIONES DE DOCUMENTOS

Rev # Detalles de Revisión

Fecha Autor

V1.0 Realización de Documento 2019-05-10

Harvey Garcia Infraestructura y

Seguridad IT

4 – APROBADORES

Aprobadores

Aprobado & Firmado Aprobado & Firmado Aprobado & Firmado Aprobado & Firmado

Harvey García Martha Obregón

Infraestructura y seguridad Dirección IT & Ops

B. PRINCIPIOS DE SEGURIDAD PARA CONEXIÓN A LA PLATAFORMA CONEXO

1 – GLOSARIO:

Conexo: Es una aplicación que permite a nuestros comercios afiliados validar bonos, realizar el reembolso en línea sin desplazarse a la ventanilla.

Web Service: Es un conjunto de protocolos y estándares que sirven para intercambiar datos entre aplicaciones

2 - MÉTODOS DE CONEXIÓN

La solución CONEXO permite hacer el consumo de unos webs services que se encuentran disponibles través de internet y pueden integrarse fácilmente a los sistemas de los comercios afiliados.

La solución puede ser utilizada a través de dos formas:

A través de una integración realizada con las terminales de los sistemas de pago (POS) de los comercios afiliados.

A través de una aplicación móvil que puede ser descargada de las tiendas de aplicaciones de su teléfono celular (AppStore – PlayStore).

Estos Webservices tienen especificaciones técnicas y de seguridad que garantizan el correcto desempeño y confiabilidad del servicio. Algunos aspectos técnicos que tienen estos webservices están relacionados con la autenticación de los servicios, elementos de integridad, no repudio y confidencialidad.

3 – GESTIÓN DE SEGURIDAD DE RED

El comercio afiliado que desee hacer la integración de su sistema de recaudo a la plataforma Conexo deberá cumplir con una gestión de seguridad en su red. Entre los principales controles están:

CONTROLES DE RED

La red interna y/o corporativa del comercio afiliado deben ser administradas y controladas para proteger sus sistemas de información y aplicaciones. Esta gestión debe incluir políticas, procedimientos, segregación y segmentación. Adicionalmente debe tener dispositivos de seguridad perimetral como Firewall, Antivirus, Sistemas de Prevención de Intrusos (IPS), etc, que garanticen la salud de la red. Así mismo debe existir un monitoreo de estos equipos.

SEGURIDAD DE SERVICIOS DE RED

Cada servicio de red debe incluir mecanismos de seguridad (protección, detección y reacción). Dichos mecanismos de seguridad pueden necesitar ser implementados en la red o directamente en sistemas, aplicaciones, estaciones de trabajo, o bases de datos.

SEGURIDAD DE TRANSFERENCIA DE DATOS

Todos los sistemas de transferencia de datos deben incluir salvaguardas adecuados para proteger la transmisión y almacenamiento de datos asegurando la Confidencialidad, Integridad, Disponibilidad y Responsabilidad.

LOGGING DE EVENTOS

Bitácoras (logs) de eventos registrando actividades de usuario, excepciones, fallas y eventos de Seguridad deben ser implementadas, centralizados y mantenidos en un Sistema, y regularmente revisados. Esto aplica a equipo de red, OS, middleware, bases de datos y aplicación.

4 - GESTION DE VULNERABILIDADES

La gestión de vulnerabilidades es requerida para prevenir la explotación de amenazas informáticas.

GESTION DE PARCHES

Todos los elementos de la red corporativa deben tener niveles de parches actualizados. El comercio afiliado debe tener un procedimiento para gestionar el despliegue de parches de seguridad críticos dentro de un plazo de tiempo razonable después de la publicación del parche.

Para sistemas que no puedan ser parchados, se debe contar con salvaguardias y monitoreo de seguridad específico en línea con la clasificación de seguridad de activos.

DETECCIÓN, EVALUACIÓN Y REMEDIACION DE VULNERABILIDAD

Las vulnerabilidades deben ser evaluadas y se deben tomar las medidas adecuadas para enfrentar y/o mitigar los riesgos asociados.

5 - GESTIÓN DE INCIDENTES DE SEGURIDAD

El comercio afiliado debe manejar una gestión de incidentes de seguridad que contemple:

IDENTIFICACIÓN Y GESTION DE INCIDENTE DE SEGURIDAD

Los incidentes de Seguridad I&S deben ser identificados y gestionados a través de procesos consistentes, disciplinados y compartidos. Debe existir una clasificación por tipo y severidad, adicionalmente deben existir canales de alerta y comunicación interna.

Dentro de este proceso debe existir un protocolo de reporte de incidentes, recopilación de pruebas y el manejo de crisis.

6 – RECOMEDACIONES DE SEGURIDAD PARA LA APLICACIÓN MÓVIL

La plataforma CONEXO tiene la posibilidad de utilizar el servicio a través de una aplicación móvil que se instala en dispositivos celulares y que puede ser descargada de las tiendas AppStore y PlayStore.

Es importante que los equipos móviles que hacen uso de este servicio tengan en cuenta las siguientes recomendaciones:

PROTECCIÓN ENDPOINT

o BLOQUEO/ DESBLOQUEO: Los equipos móviles deben tener una opción de bloqueo permanente y activarse a través de pin, huella, patrón o cualquier método de desbloqueo.

o CIFRADO: Se recomienda mantener un sistema de cifrado en el dispositivo para proteger la información almacenada.

o ACTUALIZACIONES: mantener actualizado el sistema operativo y las Aplicaciones, con el fin de proteger el dispositivo y la información libre de amenazas o ataques.

o CONEXIÓN: Es importante no conectar el dispositivo móvil a puertos USB desconocido, ni aceptar ninguna relación de confianza a través de sistemas Bluetooth que no sean de confianza.

o CONEXIÓN INALAMBRICA: Deshabilitar las comunicaciones inalámbrica que no vayan a ser usadas de forma permanente, ya sea NFC, Bluetooh o WI-FI

o REDES PÚBLICAS: Evitar conectarse a redes WI-FI públicas abiertas y/o redes desconocidas, en especial si se utiliza la aplicación CONEXO, ya que puede verse comprometida la seguridad del servicio y los datos.

o FUENTES DE CONFIANZA: Las aplicaciones que están instaladas en el equipo móvil de ben ser de fuentes confiables o descargada directamente de las tiendas oficiales de los fabricantes.

o PROTECCIÓN AL NAVEGAR: Cuando se navega a través del navegador del teléfono, consultar páginas confiables o que tengan navegación HTTPS, que validad la seguridad del sitio y el cifrado de la información.

o ANTIVIRUS: ES importante que el dispositivo móvil tenga una solución antivirus.