Cuidar tus datos es parte del servicio. Esta página explica qué medidas aplicamos, qué límites tienen y cómo puedes avisarnos si encuentras un problema.
1. Cómo protegemos los datos
- Conexión cifrada: el sitio solo se sirve por HTTPS y ordena a los navegadores no volver a usar HTTP (HSTS, 2 años).
- Cabeceras de seguridad: política de contenido (CSP) que limita desde dónde se puede cargar código, imágenes y conexiones; bloqueo de que otras páginas incrusten el sitio; y control de lo que se comparte al navegar.
- Contraseñas: nunca se guardan en claro, solo un hash que no se puede revertir; mínimo 10 caracteres. No hay registro público: solo un administrador crea cuentas.
- Sesiones: cookie de sesión con atributos Secure (solo por HTTPS) y HttpOnly (inaccesible desde scripts), y protección contra solicitudes desde otros sitios (CSRF).
- Límite de intentos: se bloquean los intentos repetidos de inicio de sesión (5 por minuto) y el abuso de los formularios públicos (por ejemplo, un máximo de solicitudes de cotización por hora desde una misma conexión).
- Permisos mínimos: cada rol ve solo lo que necesita y se comprueba siempre en el servidor, no solo en la pantalla. Una cuadrilla solo ve los proyectos de su equipo y no ve precios del cliente ni solicitudes.
- Validación de datos: toda la información que llega al servidor se valida antes de usarla.
- Trazabilidad: los cambios de estado de una solicitud quedan registrados con quién los hizo y cuándo.
- Secretos fuera del código: las claves y credenciales viven en variables de entorno del proveedor, no en el repositorio.
2. Datos que no guardamos
- La factura que subes: se usa para leer el consumo y la tarifa y no se almacena.
- Tu dirección IP en las solicitudes públicas: guardamos solo un código derivado de ella (hash con sal) para limitar abusos. Para el personal, las sesiones sí registran la IP y el navegador.
- Datos de tarjetas o pagos: el sitio no los pide.
3. Infraestructura y proveedores
El sitio se aloja en Vercel y la base de datos en Neon (sobre Amazon Web Services). La lectura de facturas usa un proveedor de modelos de IA a través de Vercel AI Gateway. Elegimos proveedores con prácticas de seguridad publicadas, incluido el cifrado de los datos en reposo, según sus propias políticas; esas garantías son de cada proveedor y puedes consultarlas en sus sitios.
Detalle de qué datos recibe cada uno en nuestra política de privacidad.
4. Si ocurre un incidente
Si detectamos un incidente que afecte datos personales, lo contendremos, investigaremos qué ocurrió y lo informaremos a la Superintendencia de Industria y Comercio y a las personas afectadas en los casos y plazos que exige la ley.
5. Reportar una vulnerabilidad
Si crees haber encontrado una falla de seguridad, escríbenos a edwaramayadiaz@gmail.com. Nos comprometemos a acusar recibo en 3 días hábiles y a mantenerte informado hasta resolverla. También publicamos estos datos en /.well-known/security.txt.
Para ayudarnos a corregirla, incluye:
- Una descripción del problema y su impacto.
- Los pasos para reproducirlo (URL, datos de prueba, capturas).
- Cómo podemos contactarte.
Te pedimos actuar de buena fe:
- No accedas, modifiques ni borres datos de otras personas; si encuentras datos personales, deja de probar y avísanos.
- No hagas pruebas que degraden el servicio (denegación de servicio, envío masivo de solicitudes) ni ingeniería social contra el personal.
- Dame un plazo razonable para corregir antes de divulgar públicamente el problema.
- Quedan fuera de alcance las fallas de servicios de terceros (Vercel, Neon, OpenStreetMap, etc.): repórtalas a sus responsables.
Si actúas así, no emprenderemos acciones legales contra ti por la investigación.
6. Lo que debes saber
Ningún sistema es completamente seguro. Revisamos y mejoramos estas medidas de forma continua, y actualizamos esta página cuando cambian. Para saber cómo tratamos tus datos personales, consulta la política de privacidad.