Control Documental
| Campo | Valor |
|---|---|
| Código del Estándar | ESCODI-QRO-001 |
| Versión | 1.1 (Vigente) |
| Estado | En vigor |
| Desarrollador | QRO. VERIFICADO |
1. Introducción
El estándar ESCODI establece la metodología oficial y unificada para evaluar la confianza digital de los sitios web y plataformas digitales. Este marco normativo es desarrollado y aplicado por QRO. VERIFICADO, garantizando que las evaluaciones se fundamenten en evidencia técnica, pública, funcional y documental.
2. Objeto
Definir los criterios mínimos operativos, técnicos, de seguridad y legales requeridos para la obtención del Sello Digital de Confianza emitido por QRO. VERIFICADO.
3. Alcance
El presente estándar es aplicable a todos los sitios web, portales interactivos y plataformas de software (SaaS) que representen a organizaciones, empresas o profesionales independientes establecidos o con operaciones comerciales en el estado de Querétaro.
4. Principios Rectores
La aplicación y auditoría de este estándar se rige bajo seis principios fundamentales:
⚖️ Legalidad
La existencia de la entidad comercial y la identidad del solicitante deben ser plenamente verificables, asegurando una representación auténtica.
👁️ Transparencia
Información clara, visible y accesible sobre la titularidad del comercio, medios de contacto y políticas de operación.
🛡️ Proporcionalidad
Las acciones de validación y la documentación exigida deben guardar una relación estrictamente proporcional al riesgo del criterio evaluado.
📂 Minimización de Datos
Únicamente se solicita la información indispensable para acreditar los criterios del estándar, evitando la recopilación excesiva.
🔗 Trazabilidad
Cada cambio de estado y acción de validación debe generar un registro inmutable, público y verificable históricamente.
📈 Mejora Continua
Los criterios evolucionan dinámicamente según los nuevos retos de ciberseguridad, estándares y legislación aplicable.
5. Metodología de Obtención de Evidencias
Para asegurar la proporcionalidad y proteger la privacidad del solicitante, los auditores deberán recabar evidencias siguiendo una jerarquía estricta de preferencia. La evidencia documental solo se solicitará cuando los niveles anteriores resulten insuficientes:
- Evidencia automática o técnica: Consulta directa y automatizada de los activos web, cabeceras de seguridad y parámetros del dominio.
- Evidencia pública: Verificación a través de registros, portales oficiales, Google Business, mapas o directorios comerciales municipales.
- Evidencia funcional: Inspección de los canales del sitio web en funcionamiento (pruebas de respuesta, envío de formularios, comportamiento anti-bot).
- Evidencia documental: Registros administrativos solicitados únicamente cuando las validaciones técnicas, públicas y funcionales dejen dudas razonables.
6. Política de Control Documental
La recopilación documental durante el proceso de validación se clasifica en tres niveles:
- Obligatoria: Identificación oficial vigente (INE o Pasaporte) del representante legal o profesional independiente.
- Preferente: Correo electrónico corporativo bajo el dominio verificado.
- Condicional: Comprobante de domicilio comercial, acta constitutiva o poder de representación, solicitados únicamente ante inconsistencias operativas no resueltas.
7. Criterios Base de Evaluación
Estos criterios deben ser evaluados en todos los sitios web corporativos y transaccionales:
ST-001
Certificado SSL y HTTPS
▼
| Criticidad | 🔴 Crítico |
| Objetivo | Garantizar que toda la información transferida entre el navegador del usuario y el servidor web se transmita de forma cifrada. |
| Método de Validación | 1. Técnico: Validación automatizada del protocolo TLS 1.2/1.3 en el puerto 443 y redirección forzada de HTTP a HTTPS. |
| Evidencias Aceptables | Certificado SSL/TLS vigente emitido por una entidad de certificación de confianza. |
ID-001
Identidad del Solicitante
▼
| Criticidad | 🔴 Crítico |
| Objetivo | Acreditar la identidad de quien solicita la validación y su vínculo operativo o legal con el establecimiento comercial. |
| Método de Validación | 1. Documental: Cotejo de identificación oficial vigente (INE/Pasaporte). |
ID-002
Ubicación Física del Negocio
▼
| Criticidad | 🔴 Crítico |
| Objetivo | Verificar que el negocio opera desde una ubicación física real, localizable y comprobable. |
CT-001
Medios de Contacto Verificables
▼
| Criticidad | 🔴 Crítico |
| Objetivo | Asegurar que el usuario cuente con canales directos y reales de comunicación con el comercio. |
CT-002
Protección Contra Bots
▼
| Criticidad | 🟡 Mayor |
| Objetivo | Proteger los formularios de contacto del sitio contra spam y automatizaciones maliciosas mediante captchas no invasivos. |
LG-001
Aviso de Privacidad
▼
| Criticidad | 🔴 Crítico |
| Objetivo | Cumplir con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). |
LG-002
Términos y Condiciones
▼
| Criticidad | 🟡 Mayor |
| Objetivo | Establecer los términos de servicio, derechos de consumidor y límites de responsabilidad. |
8. Módulo Complementario para Comercio Electrónico
Criterios de evaluación obligatorios adicionales aplicables a tiendas en línea y plataformas transaccionales:
- EC-001 – Claridad de precios: Precios expresados de forma clara en Pesos Mexicanos (MXN) indicando impuestos y costos de envío.
- EC-002 – Métodos de pago identificables: Uso de pasarelas de pago y procesadores seguros integrados bajo conexión cifrada.
- EC-003 – Políticas de cancelación: Políticas claras y accesibles para la cancelación de compras y devolución de dinero.
- EC-004 – Políticas de devolución: Plazos, condiciones y costos asociados para la devolución física de mercancías.
- EC-005 – Soporte postventa: Canales de soporte para seguimiento de envíos, aclaraciones y resolución de reclamos.
9. Dictámenes y Estados del Sello
Las evaluaciones del estándar concluyen con un dictamen administrativo formal clasificado en:
- Aprobado: El expediente cumple plenamente con los criterios base críticos y obtiene el distintivo activo.
- Aprobado con observaciones: Se otorga el sello de forma condicionada con plazos obligatorios de corrección para criterios no críticos.
- No aprobado: Incumplimiento de criterios críticos sin solventar dentro del término legal.
10. Integración Institucional
El estándar ESCODI-QRO-001 V1.1 se encuentra plenamente integrado con la infraestructura de software de QRO. VERIFICADO. Cada criterio técnico evalúa capas específicas de la **Arquitectura Multicapa AVM-QRO V1.0**, opera bajo la consistencia de datos de **MDI-QRO-001 V1.0**, y se rige por las políticas de seguridad de la información de **EIS-QRO-001 V1.0**.
11. Matriz de Correspondencia Técnica
| ESCODI | AVM-QRO | EIS-QRO | Core (PHP / DB) |
|---|---|---|---|
| ST-001 | Capa Criptográfica | Cifrado de Conexiones | `seg_ssl` / `seg_seguro` |
| ID-001 | Capa Contextual | Identidad del Representante | `op_local` |
| ID-002 | Capa Contextual | Localización del Comercio | `op_direccion` |
| CT-001 | Capa de Acceso | Integridad de Canales | `con_contacto` |
| CT-002 | Capa de Acceso | Filtrado de Automatizaciones | `con_atencion` |
| LG-001 | Capa de Auditoría | Aviso de Privacidad Legal | `leg_privacidad` |
| LG-002 | Capa de Auditoría | Términos y Condiciones | `leg_terminos` |
12. Matriz de Dependencias Documentales
Cualquier cambio normativo o técnico dentro del ecosistema de QRO. VERIFICADO obliga a revisar los elementos dependientes bajo el siguiente orden jerárquico:
ESCODI-QRO-001 V1.1 (Estándar Rector)
├── AVM-QRO (Modelo Multicapa)
├── MDI-QRO (Modelo de Datos e Integridad)
├── EIS-QRO (Esquema de Ciberseguridad)
├── Core de Eventos (Event Motor v2.2.1)
├── Políticas y Reglamentos Públicos (PRV, GOV, Sello)
└── Manuales Operativos (Auditor / Titular)
├── AVM-QRO (Modelo Multicapa)
├── MDI-QRO (Modelo de Datos e Integridad)
├── EIS-QRO (Esquema de Ciberseguridad)
├── Core de Eventos (Event Motor v2.2.1)
├── Políticas y Reglamentos Públicos (PRV, GOV, Sello)
└── Manuales Operativos (Auditor / Titular)
13. Historial de Versiones del Estándar
| Versión | Estado | Descripción |
|---|---|---|
| ESCODI-QRO-001 V1.1 | ✓ Vigente | Estándar privado de evaluación y validación de confianza digital. |
"Un estándar genera confianza cuando sus criterios son claros, uniformes y aplicados de manera consistente."