Seguridad y respuesta a incidentes

Qué datos tratamos y para qué

Solo tratamos los datos necesarios para atender a los clientes de cada negocio y crear sus pedidos: nombre, teléfono, dirección de envío y el contenido de la conversación. No vendemos datos, no los usamos para publicidad y no entrenamos modelos con ellos. Cada negocio ve únicamente sus propios datos.

Cómo los protegemos

• Cifrado en tránsito (HTTPS obligatorio) y en reposo en la base de datos; los tokens de acceso a WhatsApp, Instagram, Facebook y Shopify se guardan cifrados con AES-256.
• Copias de seguridad cifradas y con restauración a un punto en el tiempo; datos de prueba separados de los de producción.
• Acceso al personal limitado al mínimo necesario, con contraseñas fuertes y autenticación en dos pasos en los proveedores (Vercel, Turso, Meta, Shopify).
• Registro de actividad: cada acción sobre datos de clientes desde el panel queda auditada con usuario y fecha.
• Retención: los datos se conservan mientras la cuenta esté activa y se eliminan en un máximo de 30 días al cerrar la cuenta o a petición (ver eliminación de datos).

Respuesta a incidentes

1. Detección y contención (primeras 24 horas). Al detectar o recibir un aviso de acceso no autorizado, fuga o pérdida de datos, revocamos y rotamos las credenciales afectadas, aislamos el sistema comprometido y preservamos los registros.
2. Evaluación (72 horas). Determinamos qué datos, de qué negocios y de cuántas personas se vieron afectados, y la causa raíz.
3. Notificación. Avisamos por correo a cada negocio afectado en un máximo de 72 horas desde la confirmación del incidente, con lo ocurrido, los datos implicados y las medidas tomadas. Notificamos también a la plataforma correspondiente (Shopify o Meta) cuando el incidente involucre datos obtenidos a través de sus API, y a las autoridades cuando la ley lo exija.
4. Corrección y cierre. Aplicamos la corrección, verificamos que el problema no se repita y documentamos el incidente y las lecciones aprendidas.

Cómo reportar una vulnerabilidad

Escríbenos a davidmartinezg2014@hotmail.com con el asunto "Seguridad". Respondemos en un máximo de 2 días hábiles y no emprendemos acciones contra quien reporte de buena fe.

Más detalle en la política de privacidad y en los términos.