Seguridad y divulgación de vulnerabilidades
Cómo reportar una vulnerabilidad en un producto o servicio Terrestream. Política pública de divulgación referenciada en los Términos §16 y §22.5 (Anexo F).
How we protect your data
The measures below are the technical and organizational controls in our Data Processing Agreement. They reflect what is true today.
- Customer data is processed on infrastructure located in the United States.
- Encryption in transit using TLS 1.2 or higher, and at rest using AES-256 or equivalent.
- Role-based access control and least privilege, with multi-factor authentication for administrative access.
- Logging, monitoring, and intrusion detection across production systems.
- Periodic penetration testing and vulnerability scanning by qualified testers.
- A secure software development lifecycle with code review, dependency scanning, and pre-release security testing.
- Vendor diligence on each sub-processor before onboarding and periodically thereafter.
- An incident response procedure aligned with the breach notification terms of our DPA.
Local-first operation means readings and alerts continue on your own network during a cloud outage, and you can export your data as CSV, API, or PDF at any time.
Attestations and documentation
A SOC 2 Type II report is in progress. Today we provide, on request and under NDA, a summary of our technical and organizational measures, a completed security questionnaire, and an executed Data Processing Agreement. Single sign-on and SCIM provisioning are on the roadmap. Organization accounts use role-based access with multi-factor authentication now.
Read the Data Processing Agreement, the sub-processor list, and our Privacy Policy. To start a vendor security review, contact our team.
Registro de confianza
| FCC / ISED | La documentación del módulo de radio está publicada en Regulatorio (FCC / ISED): FCC ID 2AC7Z-ESPS3WROOM1, IC 21098-ESPS3WROOM1. La SDoC y el etiquetado del producto final se completan antes del envío. |
|---|---|
| SOC 2 | Programa Type II en curso; paquete de evidencia de seguridad disponible bajo NDA para evaluaciones comerciales. |
| Garantía | Garantía limitada de hardware de 1 año. |
| Alimentación | USB-C PD con fuente de alimentación con certificación UL en la caja. |
| VDP | Política pública de divulgación de vulnerabilidades y security.txt disponibles. |
| Portabilidad de datos | API local/MQTT/Home Assistant y rutas de exportación de datos de cuenta documentadas en Funciones por nivel y Términos §11.2. |
| PI | Marcas Terrestream y patentes en trámite. |
Portabilidad de datos y operación local
Terrestream publica lecturas locales para automatizaciones locales, y los datos de cuenta pueden exportarse mediante los flujos de panel/API compatibles. Los términos formales de niveles están en /legal/tier-features.
Canal de reporte
Abre una divulgación de seguridad con los pasos para reproducir. La clave PGP está publicada en /.well-known/security.txt conforme al RFC 9116.
Puerto seguro
La investigación de buena fe que siga esta política no resultará en acciones legales por parte de Aerodyne. Evita violaciones de privacidad, destrucción de datos e interrupciones del servicio. No interactúes con cuentas distintas a la tuya.
Tiempo de acuse de recibo
Acusamos recibo de los reportes "dentro de un plazo razonable" conforme a los Términos §16.5. Te mantendremos informado del estado de triage y de un calendario de divulgación coordinada acordado mutuamente.