Confianza

Respuestas al cuestionario de seguridad.

95 respuestas a las preguntas del HECVAT, en el orden del propio cuestionario y traducidas de sus palabras en inglés, con las preguntas que no aplican y por qué. Cada respuesta describe lo que LFW hace hoy, de acuerdo con las políticas de la página de confianza.

Completamos el formulario propio de su institución a partir de estas respuestas. Envíenoslo, y se lo devolvemos completo, con lo que difiera para su contrato señalado.

Envíenos su formulario La página de confianza

Última actualización: 6 de octubre de 2026

Traducción de cortesía. La versión en inglés es la que rige.

El conjunto de preguntas.

HECVAT Lite ya no existe como archivo separado. El cuestionario actual, HECVAT 4.1.6, reúne Full, Lite y On-Premise en un solo libro de trabajo, y designa sus preguntas de importancia crítica como reemplazo del enfoque Lite. Estas son esas preguntas, cotejadas con el libro de trabajo el 6 de octubre de 2026.

Qué incluyeLas ocho preguntas de alcance, los datos de la organización y todas las preguntas críticas del HECVAT 4.1.6, cada una con la respuesta de LFW. Los identificadores de las preguntas son los del libro de trabajo, para que su revisor pueda cotejarlos.
Qué no incluyeLas preguntas estándar y menores, que agrega el libro de trabajo completo. LFW las responde en su formulario, a partir de los mismos datos. Si su institución todavía usa un HECVAT Lite anterior, sus categorías corresponden a las secciones de abajo.
El alcance supuestoLa solución es el servicio de gestión web de LFW: la operación de un sitio web en el alojamiento propio de la institución, más el Portal del cliente en my.lfw.com, donde el personal de la institución envía solicitudes y lee informes. El portal es el único sistema que aloja LFW.

Empiece aquí

Preguntas de alcance.

Las ocho preguntas que deciden qué secciones aplican. Sus respuestas explican por qué las secciones de HIPAA, tarjetas de pago e IA de abajo están marcadas como no aplicables.

REQU-01 ¿Ofrece un producto basado en la nube? Sí En parte. El servicio funciona dentro de su propia cuenta de alojamiento. El Portal del cliente (my.lfw.com) es una aplicación alojada que opera LFW, así que las preguntas de producto de abajo se responden para él.
REQU-02 ¿Su producto o servicio tiene una interfaz? Sí El Portal del cliente para su personal, y el sitio web que LFW construye o mantiene para sus visitantes y editores.
REQU-03 ¿Presta servicios de consultoría? Sí El personal de LFW trabaja dentro de sus sistemas: su sistema de gestión de contenidos, su cuenta de alojamiento y su zona de Cloudflare, mediante cuentas que usted otorga.
REQU-04 ¿Su solución tiene funciones de IA, o hay planes de implementar funciones de IA en los próximos 12 meses? No El Portal del cliente no tiene funciones de IA. El portal puede conectarse a un asistente de IA que usted elija, con su propio consentimiento, mediante una conexión estándar; LFW no llama a ningún modelo en su nombre. LFW usa herramientas de IA en su propio trabajo, lo que se trata en Privacidad, abajo.
REQU-05 ¿Su solución procesa información de salud protegida (PHI) o cualquier dato cubierto por la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)? No LFW no acepta sitios ni formularios que recopilen información de salud cubierta por HIPAA.
REQU-06 ¿La solución está diseñada para procesar, almacenar o transmitir información de tarjetas de crédito? No Ni el Portal del cliente ni el sitio propio de LFW manejan datos de tarjetas. En el sitio de un cliente, los pagos van al procesador de pagos propio de la institución, nunca a través de páginas de las que LFW guarde datos.
REQU-07 ¿Operar su solución requiere que la institución opere un dispositivo físico o virtual en su propio entorno, o que conceda excepciones de entrada en el firewall para que sus empleados administren sistemas de forma remota en el entorno de la institución? No Ningún dispositivo y ninguna excepción de entrada. LFW inicia sesión en sus sistemas alojados como lo hace su propio personal.
REQU-08 ¿Su solución tiene acceso a datos personales o institucionales? Sí El contenido de su sitio web, las cuentas de los editores y los envíos de formularios, en sus sistemas. En el portal: los nombres y las direcciones de correo de su personal, las solicitudes que envían y los archivos que adjuntan.

GNRL, COMP, DOCU

Organización.

Quién es LFW, y los documentos que tiene.

GNRL-01 Nombre del proveedor de la solución Respuesta de LFW LFW.com LLC, que opera con el nombre comercial LFW.
GNRL-02 Nombre de la solución Respuesta de LFW La gestión web de LFW (el contrato de gestión de sitios web, Web Operations Retainer) y el Portal del cliente.
GNRL-03 Descripción de la solución Respuesta de LFW Gestión de sitios web con un contrato mensual: actualizaciones, seguridad, pruebas y correcciones de accesibilidad, cambios de contenido y un informe mensual por escrito, en un alojamiento que es propiedad de la institución. El Portal del cliente es donde el personal de la institución envía solicitudes y lee informes.
GNRL-04 Nombre del contacto del proveedor de la solución Respuesta de LFW Leland Fiegel, Founder & Technical Lead.
GNRL-06 Correo electrónico del contacto del proveedor de la solución Respuesta de LFW hello@lfw.com; los reportes de seguridad, a security@lfw.com.
GNRL-07 Teléfono del contacto del proveedor de la solución Respuesta de LFW (703) 662-1617.
GNRL-08 País de la sede de la empresa Respuesta de LFW Estados Unidos (Arlington, Virginia). Todo el trabajo de LFW se hace en los Estados Unidos, desde Arlington.
COMP-01 ¿Tiene equipos dedicados de desarrollo de software y sistemas (por ejemplo, atención al cliente, implementación, gestión de producto, etc.)? No LFW tiene una persona, su fundador, que se encarga del desarrollo, el soporte y la implementación (1, al 27 de septiembre de 2026).
COMP-02 Describa los antecedentes comerciales y la estructura de propiedad de su organización, incluidas todas las relaciones con empresas matrices y subsidiarias. Respuesta de LFW LFW.com LLC es una sociedad de responsabilidad limitada de Virginia, constituida en el Distrito de Columbia en 2020 y trasladada a Virginia en 2022, propiedad exclusiva de Leland Fiegel. No tiene empresa matriz, subsidiarias ni estructuras en el extranjero.
COMP-03 ¿Ha operado sin interrupciones no planificadas de esta solución en los últimos 12 meses? No Una interrupción provocada por la propia LFW, de alrededor de un minuto, el 8 de septiembre de 2026, cuando un despliegue detuvo el servicio web antes de que terminara su copia de respaldo. El procedimiento de despliegue se reemplazó ese mismo día, y ahora las versiones cambian el tráfico solo después de que la nueva versión supera sus verificaciones.
COMP-04 ¿Tiene personal u oficina dedicados a la seguridad de la información? No El fundador es el contacto de seguridad (security@lfw.com). No hay una oficina separada.
COMP-05 Use esta área para compartir información sobre su entorno que ayude a quienes evalúan el programa de seguridad de datos de su empresa. Respuesta de LFW Un servidor de Hetzner en Ashburn, Virginia, detrás de Cloudflare. El firewall acepta tráfico web solo desde las direcciones de Cloudflare; SSH es solo con llave, con las contraseñas desactivadas. La aplicación, su base de datos y el índice de búsqueda escuchan en la dirección de loopback. Los detalles están en la política de seguridad de la información.
DOCU-01 ¿Tiene un plan de continuidad del negocio (BCP) bien documentado, con un responsable claro, que se prueba cada año? No No como un plan probado. El arreglo de continuidad publicado por LFW: su cuenta de alojamiento y su repositorio a su nombre desde el primer día, un manual de operaciones en su repositorio actualizado cada mes, el soporte 24/7 de su proveedor y el acceso devuelto sin costo cuando termina el contrato.
DOCU-02 ¿Tiene un plan de recuperación ante desastres (DRP) bien documentado, con un responsable claro, que se prueba cada año? Parcialmente Las copias de respaldo están documentadas y son automáticas: una instantánea cifrada y deduplicada cada día y en cada publicación, verificada cada semana, con una copia externa. Un simulacro anual programado de restauración todavía no forma parte del registro; el responsable es el fundador.
DOCU-03 ¿Se ha sometido a una auditoría SSAE 18/SOC 2? No LFW no tiene ningún informe SOC 2. Los propios informes de su proveedor de alojamiento cubren la infraestructura en la que funciona su sitio.
DOCU-04 ¿Se ajusta a un marco de seguridad estándar específico de la industria (por ejemplo, NIST Cybersecurity Framework, CIS Controls, ISO 27001, etc.)? No LFW no afirma ajustarse a ningún marco. Sus prácticas están publicadas íntegramente en este sitio para que usted pueda relacionarlas con su propio marco.
DOCU-05 ¿Puede proporcionar diagramas generales de la arquitectura del sistema o de la aplicación, con una descripción completa del flujo de datos de todos los componentes del sistema? Sí A pedido. El flujo de datos es corto: visitante, Cloudflare, nginx en el servidor, la aplicación Node, una base de datos SQLite en el mismo servidor, con copias de respaldo cifradas en el directorio de respaldo del servidor y en Cloudflare R2.
DOCU-06 ¿Su organización tiene una política de privacidad de datos? Sí Publicada en lfw.com/privacy, con su fecha y sus versiones anteriores.
DOCU-07 ¿Tiene una política documentada, y actualmente implementada, de incorporación y salida de empleados? No aplica LFW no tiene empleados. La política de control de acceso explica cómo se otorga y se retira el acceso propio de LFW a sus sistemas, lo que sirve también como lista de salida.

THRD, CHNG, PPPR

Terceros y cambios.

Las empresas de las que depende LFW, y cómo se manejan los cambios y los parches.

THRD-01 ¿Realiza evaluaciones de seguridad de las empresas terceras con las que comparte datos (por ejemplo, proveedores de alojamiento, servicios en la nube, PaaS, IaaS, SaaS)? Parcialmente LFW lee la documentación de seguridad publicada por cada proveedor antes de usarlo y mantiene pública la lista de proveedores (los subencargados de la página de confianza). No realiza auditorías propias de ellos.
THRD-02 ¿Tiene cláusulas contractuales con terceros que regulen el acceso a los datos institucionales? Sí Los términos estándar y los términos de tratamiento de datos de cada proveedor. LFW no negocia contratos personalizados con ellos.
THRD-03 ¿Los contratos con esos terceros abordan la responsabilidad en caso de una violación de datos? Parcialmente Solo en la medida en que lo hacen los términos estándar de cada proveedor. LFW no tiene términos negociados de responsabilidad por violaciones de datos con ningún proveedor.
THRD-04 ¿Tiene implementada una estrategia de gestión de terceros? Parcialmente Una lista breve y publicada, revisada cada vez que se agrega o se retira un proveedor; la política de privacidad, la página de seguridad y la página de confianza cambian juntas.
CHNG-01 ¿Se notificará a la institución sobre cambios importantes en su entorno que puedan afectar la postura de seguridad de la institución? Sí En su informe mensual, y en los documentos fechados de la página de confianza, que cambian de forma abierta.
CHNG-02 ¿El sistema admite personalizaciones del cliente de una versión a otra? Sí Su sitio web es un tema a medida en un repositorio que usted posee, así que ninguna actualización sobrescribe nada suyo. El Portal del cliente no se personaliza por cliente.
CHNG-03 ¿Tiene implementado un proceso de gestión de la configuración de los sistemas (por ejemplo, imágenes "de referencia" seguras, etc.)? Sí El script de aprovisionamiento del servidor, las unidades de servicio, las reglas del firewall y la configuración del servidor web están en control de versiones. Cada versión se construye en un contenedor desechable y se activa completa.
PPPR-01 ¿Tiene un proceso documentado de gestión de parches? Sí Para su sitio: actualizaciones mensuales, las versiones de seguridad antes del ciclo y un firewall que bloquea los ataques conocidos entre tanto. Para los sistemas de LFW: las dependencias se auditan en cada publicación y se rechaza una versión publicada hace menos de siete días.
PPPR-02 ¿Puede su organización cumplir las políticas institucionales de privacidad y protección de datos respecto de los usuarios de los sistemas institucionales, si se requiere? Sí Según su contrato. Envíe la política; LFW la lee antes de firmar.
PPPR-03 ¿Su empresa está sujeta a las leyes y regulaciones de la región geográfica de la institución? Sí LFW es una empresa de los Estados Unidos. Con el contrato de una institución pública, acepta la ley estatal y la jurisdicción de la institución.

CONS

Acceso de consultoría.

Cómo trabaja LFW dentro de sus sistemas.

CONS-01 ¿El consultor necesitará acceso a los recursos de red de la institución? No Ningún acceso a la red, VPN ni dispositivo. LFW usa cuentas nominativas que usted otorga en sus sistemas alojados.
CONS-02 ¿El consultor ha recibido capacitación sobre el manejo de datos (sensibles, HIPAA, PCI, etc.)? No No hay un programa formal de capacitación; una sola persona tiene el acceso. Las reglas escritas son la política de uso aceptable y la política de control de acceso de este sitio.
CONS-03 ¿Los datos están cifrados (en reposo) mientras están en posesión del consultor? Parcialmente LFW mantiene sus datos en sus sistemas y evita guardar copias en sus propios equipos. El trabajo en curso vive en el repositorio que usted posee. Las copias de respaldo cifradas de LFW cubren los registros del Portal del cliente.
CONS-04 ¿Se puede restringir el acceso según la dirección IP de origen? Sí Cuando su plataforma lo admite. LFW trabaja dentro de una lista de direcciones permitidas que usted fija.

APPL, FIDP, VULN, DCTR

Aplicación e infraestructura.

El Portal del cliente y el servidor en el que funciona.

APPL-01 ¿Los controles de acceso a las cuentas institucionales se basan en reglas estructuradas, como el control de acceso basado en roles (RBAC), en atributos (ABAC) o en políticas (PBAC)? Sí Los roles del portal son propietario, miembro y lector, con permisos por sitio para los miembros. El personal de LFW no puede escribir como un cliente: la vista de una cuenta de cliente por parte del personal es de solo lectura y queda registrada.
APPL-02 ¿Usa un firewall de aplicaciones web (WAF)? Sí El firewall de aplicaciones web de Cloudflare delante de LFW.com y del portal; el servidor acepta tráfico web solo desde Cloudflare. Los sitios de los clientes usan Wordfence Premium y el firewall de Cloudflare.
APPL-03 ¿Los sistemas o aplicaciones que tendrán acceso a los datos de la institución usan solo sistemas operativos, software y bibliotecas con soporte vigente? Sí Una versión actual de Node.js y bibliotecas actuales, fijadas en un archivo de bloqueo y auditadas en cada publicación. La construcción rechaza una vulnerabilidad conocida de severidad alta.
APPL-04 ¿Su aplicación requiere acceso a datos de ubicación o GPS? No No. La analítica de páginas vistas guarda solo un país o región calculado a partir de la dirección, que no se almacena.
APPL-05 ¿Su aplicación ofrece separación de funciones entre la administración de seguridad, la administración del sistema y las funciones de usuario estándar? Parcialmente Entre LFW y los clientes, sí: la administración del personal y el portal del cliente son sitios separados con sesiones separadas. Dentro de LFW, no: una sola persona tiene los roles de administración de seguridad y de sistemas.
APPL-06 ¿Somete su código a análisis estático o a pruebas estáticas de seguridad de aplicaciones antes de cada publicación? Parcialmente El lint, una auditoría de dependencias de los dos árboles de producción y el conjunto de pruebas se ejecutan en un contenedor desechable antes de cada publicación y la hacen fallar. No hay un producto SAST separado.
APPL-07 ¿Tiene procesos de prueba de software (dinámicos o estáticos) establecidos y que se siguen? Sí Un conjunto de pruebas automatizadas en cada publicación, verificaciones en el navegador de las páginas cambiadas y las verificaciones diarias del sitio en producción de LFW Monitor.
FIDP-01 ¿Usa un firewall con inspección de paquetes con estado (SPI)? Sí El firewall del servidor (netfilter mediante ufw), con Cloudflare delante.
FIDP-02 ¿Tiene una política documentada para las solicitudes de cambio del firewall? Sí Las reglas del firewall están en el script de aprovisionamiento, en control de versiones; un cambio es un commit revisado y un despliegue.
FIDP-03 ¿Ha implementado un sistema de detección de intrusiones (basado en la red)? No No hay un sistema de detección de intrusiones en la red. El firewall y la mitigación de DDoS de Cloudflare están delante del servidor, y solo Cloudflare puede alcanzarlo en los puertos web.
FIDP-04 ¿Usa detección de intrusiones basada en el host? Parcialmente fail2ban bloquea las direcciones tras varias conexiones fallidas. No hay un producto más amplio de detección de intrusiones en el host.
FIDP-05 ¿Hay registros de auditoría disponibles para todos los cambios en la red, el firewall y los sistemas IDS e IPS? Sí Cada cambio en el firewall o en la configuración del servidor es un commit en control de versiones, con su autor y su fecha, y un registro de despliegue.
VULN-01 ¿Sus sistemas y aplicaciones se escanean en busca de vulnerabilidades (que se corrigen) con una cuenta de usuario autenticada antes de cada nueva versión? No No se ejecuta ningún escáner autenticado antes de una publicación. Lo que sí se ejecuta: la auditoría de dependencias, el conjunto de pruebas y las verificaciones diarias sin autenticación de LFW Monitor sobre los encabezados, TLS y la política de contenido.
VULN-02 ¿Proporcionará a la institución los resultados de los escaneos de vulnerabilidades de la aplicación y del sistema? Sí La verificación diaria de LFW.com por LFW Monitor es pública, y el resultado de la auditoría de dependencias se comparte a pedido.
VULN-03 ¿Permitirá que la institución haga sus propias pruebas o escaneos de vulnerabilidades de sus sistemas o de su aplicación, siempre que se hagan en una fecha y hora acordadas por ambas partes? Sí En un momento acordado, dentro de las reglas de la política de divulgación de vulnerabilidades en lfw.com/security.
DCTR-06 ¿Una barrera física encierra por completo el espacio físico e impide el contacto físico no autorizado con cualquiera de sus dispositivos? Sí LFW no tiene centro de datos propio. El servidor está en las instalaciones de Hetzner en Ashburn; sus controles físicos son los de Hetzner, descritos en la documentación publicada por Hetzner, y LFW no los ha verificado en el lugar.
DCTR-10 ¿Se prueban las estrategias de energía redundante? Sí Según el operador del centro de datos. LFW no lo ha verificado en el lugar.

AAAI

Autenticación y auditoría.

Cómo inician sesión las personas en el Portal del cliente, y qué se registra.

AAAI-01 ¿Su solución admite protocolos de inicio de sesión único (SSO) para la autenticación de usuarios y administradores? Sí OpenID Connect, directo con su proveedor de identidad (por ejemplo Entra ID, Okta o Google Workspace). Su personal de TI registra la dirección de redirección.
AAAI-02 Para los clientes que no usan SSO, ¿su solución admite protocolos de autenticación local para usuarios y administradores? Sí Un enlace enviado por correo que funciona una sola vez y caduca a los 15 minutos, o una llave de acceso. No hay contraseñas.
AAAI-03 Para los clientes que no usan SSO, ¿puede imponer requisitos de complejidad de contraseñas o frases de contraseña (fijados por la institución)? No aplica No hay contraseñas a las que aplicar reglas.
AAAI-04 Para los clientes que no usan SSO, ¿el sistema tiene limitaciones o restricciones de complejidad o longitud de las contraseñas? No aplica No hay contraseñas.
AAAI-05 Para los clientes que no usan SSO, ¿tiene procedimientos documentados de restablecimiento de contraseñas o frases de contraseña implementados en el sistema o en la atención al cliente? No aplica No hay nada que restablecer. Un nuevo enlace de inicio de sesión reemplaza uno perdido; una llave de acceso puede registrarse de nuevo después de iniciar sesión por correo.
AAAI-06 ¿Su organización participa en InCommon o en otra federación de confianza afiliada a eduGAIN? No No es miembro. El SSO se configura por institución con su propio proveedor de identidad.
AAAI-07 ¿Hay contraseñas o frases de contraseña escritas directamente en el código de sus sistemas o soluciones? No Los secretos se guardan en un archivo en el servidor, limitado al administrador del servidor y a la cuenta de servicio. El repositorio no contiene ninguno; la revisión de septiembre de 2026 lo verificó.
AAAI-08 ¿Almacena alguna contraseña en texto plano? No LFW no almacena ninguna contraseña.
AAAI-09 ¿Hay registros de auditoría disponibles que incluyan COMO MÍNIMO todo lo siguiente: inicio de sesión, cierre de sesión, acciones realizadas y dirección IP de origen? Parcialmente El portal registra las acciones sobre solicitudes y documentos (un historial de solo anexión), cada vista de una cuenta de cliente por parte del personal y los tokens de inicio de sesión usados. Los registros del servidor web guardan la dirección de origen de cada solicitud. Todavía no se ofrece a los clientes un informe de inicios y cierres de sesión por usuario.
AAAI-11 ¿Puede proporcionar a la institución documentación sobre el período de retención de esos registros, cómo se protegen y si el cliente tiene acceso a ellos (y, en ese caso, cómo)? Sí A pedido, por escrito, para los registros mencionados arriba.

DATA

Datos.

Dónde están los datos institucionales en los sistemas de LFW, cifrados o no, y qué pasa con ellos al final.

DATA-01 ¿Los datos de la institución se almacenarán en algún dispositivo (servidores de bases de datos, servidores de archivos, SAN, NAS, etc.) configurado con direcciones IP que no son RFC 1918/4193 (es decir, enrutables públicamente)? Sí El único servidor tiene una dirección pública. Su firewall acepta tráfico web solo desde los rangos de Cloudflare y SSH solo con llave; la base de datos es un archivo en ese servidor, legible solo por la cuenta de servicio.
DATA-02 ¿El transporte de datos sensibles se cifra con protocolos o algoritmos de seguridad (por ejemplo, del sistema al cliente)? Sí TLS 1.3 hacia los visitantes, con una política HSTS de un año; se rechazan las versiones anteriores de TLS. El tráfico entre Cloudflare y el servidor también va cifrado.
DATA-03 ¿El almacenamiento de datos sensibles se cifra con protocolos o algoritmos de seguridad (por ejemplo, cifrado de disco, en reposo, de archivos y dentro de una base de datos en ejecución)? Parcialmente Las copias de respaldo se cifran antes de salir del servidor. La base de datos en producción está protegida por los permisos de archivo y el firewall; LFW no afirma tener cifrado de disco para ella.
DATA-04 ¿Todos los módulos criptográficos que usa su solución se ajustan a los Federal Information Processing Standards (FIPS PUB 140-2 o 140-3)? No No se afirma ninguna validación FIPS.
DATA-05 ¿Los datos de la institución estarán disponibles en el sistema durante un período al terminar este contrato? Sí Durante 30 días después del final, en el traspaso que establece el contrato de servicios, y a pedido LFW exporta sus registros del portal.
DATA-06 ¿Los derechos de propiedad sobre todos los datos, entradas, salidas y metadatos se conservan incluso en caso de adquisición o quiebra del proveedor? Sí Su contenido y sus datos siguen siendo suyos según el contrato de servicios, y el trabajo que usted paga es suyo una vez pagado. Un cambio en la propiedad de LFW no cambia eso.
DATA-07 ¿Las copias de respaldo que contienen datos de la institución salen alguna vez de la zona de datos de la institución, ya sea físicamente o por enrutamiento de red? Sí El servidor y sus copias de respaldo están en Ashburn, Virginia. La copia externa cifrada está en Cloudflare R2, en la jurisdicción predeterminada de Cloudflare, que puede situarla fuera de los Estados Unidos; la copia se cifra antes de salir del servidor. Las copias de respaldo de su sitio web se quedan con su proveedor.
DATA-08 ¿Los medios usados para la retención a largo plazo de datos del negocio y para archivo se guardan en un área segura y protegida ambientalmente? Sí No hay medios físicos. La retención está en los centros de datos de Hetzner y de Cloudflare.

ITAC

Accesibilidad de TI.

Para el Portal del cliente y LFW.com, y para los sitios que LFW construye.

ITAC-06 ¿Se ha creado o actualizado un VPAT o ACR para la solución y la versión en consideración en los últimos 12 meses? Sí En la página de confianza está publicado un Informe de conformidad de accesibilidad de LFW.com con fecha del 2 de octubre de 2026. Para un sitio que LFW construye, se entrega un informe en el lanzamiento.
ITAC-07 ¿Su empresa aceptará cumplir el estándar de accesibilidad que declara o WCAG 2.1 AA como parte de su acuerdo contractual para la solución? Sí Para las plantillas y páginas que LFW construye y mantiene, como el estándar de su contrato. LFW no promete conformidad para una fecha en el contenido que no controla.
ITAC-08 ¿La solución se ajusta sustancialmente a WCAG 2.1 AA? Sí LFW.com, según el informe de elaboración propia: cada criterio de nivel A y AA es compatible o no aplica. El informe indica que no es una auditoría independiente.
ITAC-09 ¿Tiene un proceso documentado e implementado para reportar y dar seguimiento a los problemas de accesibilidad? Sí Reporte una barrera por correo, como indica la declaración de accesibilidad, o en el Portal del cliente. Los hallazgos se siguen como solicitudes, y LFW Monitor vuelve a revisar las páginas cada día.

PCOM, PTHP, PDAT, PRPO, DPAI

Privacidad.

Violaciones de datos, terceros, los tipos de datos que LFW no recopila y las herramientas de IA.

PCOM-01 ¿Ha tenido una violación de datos personales en los últimos tres años que haya implicado informar a un organismo gubernamental, avisar a personas (incluido un aviso voluntario) o avisar a otra organización o institución? No Ninguna.
PTHP-01 ¿Tiene acuerdos contractuales con terceros que les exijan mantener estándares y cumplir todos los requisitos regulatorios? Sí Los términos estándar y los términos de tratamiento de datos de cada proveedor.
PDAT-01 ¿Recopila, procesa o almacena información demográfica? No No.
PDAT-02 ¿Capta o genera información genética, biométrica o de comportamiento (por ejemplo, reconocimiento facial o huellas dactilares)? No No. La verificación biométrica de una llave de acceso ocurre en el propio dispositivo del usuario; LFW recibe solo una clave pública.
PDAT-03 ¿Combina datos institucionales (incluidos datos "desidentificados", "anonimizados" o enmascarados de otro modo) con datos personales de cualquier otra fuente? No No.
PRPO-06 ¿Tiene un programa de concienciación o capacitación sobre privacidad? No No hay un programa formal. La política de privacidad es la regla escrita.
PRPO-12 ¿Comparte datos institucionales con las fuerzas del orden sin una orden judicial o citación válida? No No.
DPAI-02 ¿Se retiene algún dato institucional en el procesamiento de IA? No Los sistemas de LFW no tienen funciones de IA. En el propio trabajo de LFW, las herramientas de IA pueden procesar información de los clientes para redactar y revisar el trabajo; nunca se usa para entrenar modelos, una persona revisa cada resultado y se excluye cualquier dato que usted indique en su contrato.
DPAI-03 ¿Tiene acuerdos con terceros o subencargados sobre la protección de los datos de los clientes y el uso de IA? Sí Los términos comerciales de Anthropic, que prohíben entrenar con el contenido de los clientes. La lista de subencargados de la página de confianza nombra a cada proveedor de IA.

HIPA, PCID, secciones de IA

No aplica, y por qué.

Preguntas críticas que las respuestas de alcance descartan. Cada una se enumera para que su revisor vea que el identificador no se omitió.

HIPA-01 a HIPA-04 Capacitación en HIPAA, áreas de riesgo, planes probados y acuerdos de socio comercial. No aplica LFW no procesa información de salud protegida (REQU-05).
PCID-01 a PCID-03 Certificación de PCI DSS, inclusión en la lista de PA-DSS y manejo de datos de titulares de tarjetas por terceros. No aplica Ningún dato de tarjetas pasa por los sistemas de LFW (REQU-06). Los pagos en el sitio de un cliente van al procesador propio de la institución.
AIGN-01 a AIGN-03 Modelo de riesgos de IA, desactivación de las funciones de IA, capacitación en IA responsable. No aplica La solución no tiene funciones de IA (REQU-04).
AIPL-01 a AIPL-04 Políticas de IA publicadas, riesgos de IA medidos, desactivación y reactivación de las funciones de IA tras un incidente. No aplica La solución no tiene funciones de IA (REQU-04).
AISC-01 a AISC-03 Eliminación de datos de un modelo, influencia de las entradas del usuario en un modelo, registro de las acciones de IA. No aplica La solución no tiene funciones de IA (REQU-04).
AIML-01, AIML-02, AILM-01 a AILM-04 Separación de los datos de entrenamiento y retroalimentación del aprendizaje automático; privilegios, datos de entrenamiento, intervención humana y complementos de los modelos de lenguaje de gran tamaño. No aplica La solución no tiene funciones de IA (REQU-04).

Envíenos el formulario de su institución.

HECVAT, un cuestionario estatal o su propia hoja de cálculo. Se lo devolvemos completo a partir de estas respuestas, con enlaces a las políticas que cita.

Escriba a hello@lfw.com Cómo contratar