Seguridad y datos
Te pedimos que evalúes la seguridad de tu empresa, así que te debemos transparencia sobre la nuestra. Esto es lo que hacemos hoy, sin exagerar.
Acceso a tu cuenta
- Sin contraseñas. Entras con un enlace enviado a tu correo, válido por 15 minutos y de un solo uso. Guardamos solo su huella criptográfica (hash SHA-256), nunca el enlace en sí.
- Sesiones firmadas. La cookie de sesión está firmada (HMAC-SHA256) y marcada como
HttpOnly,SecureySameSite, para que no pueda leerse desde scripts ni enviarse por conexiones sin cifrar. Dura 30 días, y 8 horas para la cuenta de administración. - Límites de intentos. Limitamos solicitudes de acceso, registros y llamadas a la IA por correo, por dirección IP y por usuario, para frenar ataques automatizados.
- Bloqueo inmediato. Si una cuenta se bloquea, pierde el acceso en su siguiente acción, aunque tuviera una sesión abierta.
Aislamiento entre empresas
Cada petición comprueba en el servidor que la evaluación o evidencia solicitada pertenece a tu empresa. Ninguna otra cuenta puede ver tus respuestas, tu evidencia ni tu puntaje. Las comparaciones de referencia usan solo promedios de al menos 5 empresas.
Tu evidencia
- Se guarda en Cloudflare R2, con cifrado en reposo, y viaja siempre cifrada (HTTPS).
- Solo aceptamos formatos de documento e imagen comunes, hasta 10 MB por archivo y 5 archivos por control.
- Puedes eliminar cualquier archivo en cualquier momento, y se borra del almacenamiento.
Inteligencia artificial
Usamos un modelo de IA de Anthropic a través de su API comercial. Enviamos solo lo necesario para evaluar cada control (tu respuesta y el texto extraído de la evidencia). Según las condiciones comerciales de Anthropic, ese contenido no se usa para entrenar sus modelos.
Compartir tus resultados
Puedes generar un enlace público de solo lectura con el resumen de tu evaluación, para clientes o licitaciones. Usa un código aleatorio difícil de adivinar, caduca a los 30 días, puedes revocarlo cuando quieras y no aparece en buscadores.
Infraestructura
- Todo el sitio funciona sobre Cloudflare: HTTPS obligatorio con HSTS, protección DDoS y base de datos cifrada en reposo.
- Cabeceras de seguridad estrictas en el navegador: política de contenido (CSP), protección contra clickjacking y restricción de permisos.
- Las acciones de administración quedan registradas en un log de auditoría con fecha e IP, y existe un único administrador, protegido tanto en el código como en la base de datos.
- Los cambios se publican desde un repositorio privado con despliegue automatizado y un punto de restauración de la base de datos antes de cada cambio.
Lo que todavía no tenemos
Somos una empresa en etapa inicial. Aún no contamos con certificaciones como ISO/IEC 27001 o informes SOC 2. Si tu empresa necesita información adicional para una evaluación de proveedores, escríbenos y te responderemos con detalle.
Reportar una vulnerabilidad
Si encuentras un fallo de seguridad, escríbenos a [email protected] con el asunto "Seguridad" y los pasos para reproducirlo. Te pedimos que:
- No accedas, modifiques ni borres datos de otras personas o empresas.
- No hagas pruebas de denegación de servicio ni envíes spam.
- Nos des un plazo razonable para corregirlo antes de hacerlo público.
Si actúas de buena fe y dentro de estas pautas, no emprenderemos acciones en tu contra y te agradeceremos públicamente si lo deseas. También publicamos esta información en security.txt.