Cómo protegemos la información de tu empresa

• La separación entre empresas la aplica la propia base de datos con seguridad por fila (RLS), no solo la aplicación: una consulta sin permiso no devuelve nada aunque el código tuviera un error.
• Pruebas automáticas verifican en cada cambio que ningún usuario pueda leer ni modificar datos de otra empresa.
• Los archivos de evidencia se guardan en carpetas por empresa con las mismas reglas de acceso y se descargan con enlaces temporales.

• Roles con privilegio mínimo: administrador, responsable, dueño de riesgo, consulta y auditor externo con acceso que vence solo.
• Verificación en dos pasos con app autenticadora; el administrador puede hacerla obligatoria para todo el equipo, y la base de datos no entrega información a quien no la complete.
• Contraseñas de al menos 10 caracteres que se comparan contra filtraciones conocidas sin enviar la contraseña a nadie (k-anonimato).
• Bloqueo temporal tras 5 intentos fallidos en 15 minutos.
• La sesión se cierra tras 1 hora sin actividad y a las 12 horas como máximo; con “Recordarme”, tras 7 días sin actividad y a los 30 días.

• Bitácora inmutable de cambios: cada alta, edición o eliminación queda con quién, cuándo y qué cambió; nadie, ni el administrador, puede borrarla.
• Registro de accesos de un año: inicios de sesión, intentos fallidos, bloqueos, cambios de contraseña y de segundo factor, con dirección IP y dispositivo. Cada persona ve su actividad y el administrador la de su equipo.

• Toda la comunicación viaja cifrada con TLS y el navegador recuerda usar solo HTTPS (HSTS).
• La base de datos y los archivos se guardan cifrados en reposo por nuestro proveedor de infraestructura.
• Las llaves de servicio viven solo en el servidor; el navegador nunca las recibe.

• Política de contenido (CSP) que impide cargar scripts de otros dominios y que el sitio se muestre dentro de otras páginas.
• Cada cambio de código pasa por revisión automática: pruebas de la base de datos, tipos, análisis estático, dependencias con vulnerabilidades y búsqueda de secretos expuestos.
• Los errores del servidor se registran sin datos sensibles y avisan de inmediato al equipo.

• Tu empresa es la responsable de los datos personales que registra y nosotros actuamos como encargado, según el contrato de encargado.
• Puedes exportar toda la información de tu empresa en cualquier momento, y cada persona puede descargar sus propios datos personales desde su perfil.
• Al cancelar, los datos se eliminan de forma definitiva 30 días después, con aviso previo.
• Para ejercer tus derechos ARCO escribe a privacidad@goumbral.com.

Usamos proveedores de infraestructura que mantienen sus propias certificaciones de seguridad:

• Supabase: Base de datos, autenticación y almacenamiento de archivos (Estados Unidos).
• Vercel: Hospedaje de la aplicación (Estados Unidos).
• Stripe: Procesamiento de pagos con tarjeta (Estados Unidos).
• Resend: Envío de correos de la plataforma (Estados Unidos).

Publicamos el estado del servicio en tiempo real en /estado, con revisión de la aplicación, la base de datos, el inicio de sesión y el almacenamiento.

Si encuentras una falla de seguridad, escríbenos a seguridad@goumbral.com. Respondemos en un máximo de 3 días hábiles y no emprendemos acciones contra quien reporte de buena fe. Los datos de contacto también están en /.well-known/security.txt.