En caso de discrepancia, prevalece la versión en inglés. Esta traducción al español se ofrece para tu comodidad.
Cifrado en tránsito
- getproofed.ai y la app se sirven solo por HTTPS con TLS 1.2 o superior. Las versiones anteriores de TLS se rechazan, y las direcciones con HTTP simple y con “www” redirigen a https://getproofed.ai.
- Se indica a los navegadores que usen HTTPS para getproofed.ai durante un año (HTTP Strict Transport Security).
Tu cuenta
- Las contraseñas nunca se guardan en texto plano. Guardamos solo un hash scrypt con una sal aleatoria única, y verificamos las contraseñas con una comparación de tiempo constante. Nadie en Citinet Solutions, LLC puede ver tu contraseña.
- Los intentos de inicio de sesión tienen un límite. Después de varios intentos fallidos para la misma cuenta o desde la misma dirección de red, los siguientes intentos se pausan hasta por 15 minutos. Un inicio de sesión exitoso reinicia el conteo, y la pausa siempre se levanta sola.
- Las sesiones usan tokens aleatorios largos. Guardamos solo un hash de cada token, y las sesiones vencen después de 30 días o cuando cierras sesión.
- Los enlaces para restablecer la contraseña funcionan una sola vez y vencen después de 1 hora. Guardamos solo un hash del token del enlace, los enlaces anteriores sin usar se cancelan cuando se pide uno nuevo y las solicitudes de restablecimiento tienen un límite.
Tus fotos y proyectos
- Los proyectos y las fotos se guardan en tu dispositivo. Cuando inicias sesión, también se respaldan en tu cuenta con nuestro proveedor de hosting, que cifra los datos almacenados.
- Las fotos sincronizadas nunca son públicas. Cada solicitud debe venir de una cuenta con sesión iniciada que sea dueña del proyecto o haya sido invitada a él, y las personas que se quitan de un proyecto pierden el acceso. Las fotos se envían con caché “no-store” para que las cachés compartidas no guarden copias.
- Al borrar un proyecto o una foto en la app, también se elimina del respaldo de tu cuenta.
Pagos
- Los datos de la tarjeta se escriben en campos de pago seguros que ofrece nuestro procesador de pagos, que cumple con PCI DSS, y van directo de tu navegador al procesador. Nuestros servidores reciben solo un token de un solo uso, y nunca vemos ni guardamos números completos de tarjeta ni códigos de seguridad (CVV). Consulta Pago Seguro para ver los detalles de facturación.
- Las notificaciones de pago del procesador deben llevar una firma criptográfica válida (HMAC-SHA256). Las notificaciones sin firma o alteradas se rechazan.
- Los registros de cuentas y de facturación se guardan con escrituras condicionales, así que dos actualizaciones que llegan al mismo tiempo (por ejemplo, un pago y una notificación de pago) no pueden sobrescribirse entre sí.
Secretos y acceso de administración
- Las claves de API, las claves de firma y la credencial de administración se guardan en la configuración de entorno de nuestro proveedor de hosting, nunca en nuestro código fuente ni en los archivos que descarga tu navegador.
- La consola de administración está protegida por una sola credencial de administración que tiene Citinet Solutions, LLC y que se verifica con una comparación de tiempo constante. Los intentos de inicio de sesión de administración tienen el mismo límite. Las sesiones de administración están firmadas criptográficamente y vencen después de 7 días.
- La consola de administración está excluida de los buscadores y de la analítica. Los reembolsos y las correcciones de cuentas que se hacen ahí quedan en un registro de auditoría.
- La consola de administración exige un código de una app de autenticación además de la contraseña.
Protecciones del navegador
- Nuestras páginas envían encabezados de seguridad que impiden que los navegadores adivinen tipos de archivo (X-Content-Type-Options), limitan lo que se comparte cuando sigues un enlace a otro sitio (Referrer-Policy), impiden que otros sitios web incrusten nuestras páginas (frame-ancestors / X-Frame-Options) y desactivan funciones del dispositivo que no usamos, como el micrófono, la ubicación y el USB (Permissions-Policy).
Analítica
- Usamos analítica respetuosa con la privacidad para mejorar el producto. La analítica no se carga si tu navegador envía “No rastrear” (Do Not Track) o el Control Global de Privacidad (Global Privacy Control), y nunca en la consola de administración.
- Antes de enviar cualquier dato, a las direcciones web se les quitan los fragmentos y los parámetros de consulta que no sean etiquetas de campaña o el tipo de registro, y se descartan los valores de eventos que parezcan correos electrónicos o números de teléfono. La grabación de sesiones está desactivada.
Conservación y eliminación de datos
- Los datos en tu dispositivo se conservan hasta que los borres o limpies el almacenamiento del navegador.
- Los proyectos respaldados en tu cuenta se conservan hasta que los borres en la app. Para eliminar tu cuenta y sus datos respaldados, escribe a support@getproofed.ai desde el correo electrónico de tu cuenta.
- Las sesiones vencidas se eliminan, y los registros de restablecimiento de contraseña usados o vencidos se borran dentro del día siguiente a su vencimiento.
- Los registros de facturación se conservan como se describe en nuestro Aviso de Privacidad.
Si ocurre un incidente de seguridad
Si nos enteramos de un incidente de seguridad que afecte tu información personal, lo investigaremos y lo contendremos, y avisaremos por correo electrónico a los usuarios afectados sin demoras indebidas y según lo exija la ley aplicable.
Cómo reportar una vulnerabilidad
Si crees que encontraste una vulnerabilidad de seguridad en GetProofed, escribe a support@getproofed.ai con “Security” en el asunto. Incluye la página o función afectada, los pasos para reproducirla y el impacto que esperas. No incluyas contraseñas reales ni números completos de tarjeta. Procuramos confirmar la recepción de los reportes en un plazo de dos (2) días hábiles y te mantendremos al tanto hasta que el problema se resuelva.
Puerto seguro (safe harbor)
No emprenderemos acciones legales contra nadie que investigue y reporte de buena fe una vulnerabilidad a support@getproofed.ai, siempre que no acceda a datos de otras personas ni los modifique más allá de lo necesario para demostrar el problema, no interrumpa el servicio (nada de ataques de denegación de servicio ni spam) y nos dé un tiempo razonable para corregir el problema antes de divulgarlo.
Usa solo cuentas que sean tuyas y no recurras a la ingeniería social ni a ataques físicos. Por ahora no tenemos un programa de recompensas por errores (bug bounty) pagado. Nuestros datos de contacto también están publicados en /.well-known/security.txt.
Lo que no afirmamos
GetProofed no cuenta actualmente con certificaciones SOC 2, ISO 27001 ni HIPAA, y no firmamos acuerdos de socio comercial (BAA). Si necesitas compromisos de cumplimiento específicos, escribe a support@getproofed.ai y te diremos con claridad qué podemos y qué no podemos ofrecer.
Lo que te toca a ti
- Usa una contraseña única para GetProofed y mantén actualizados tu dispositivo y tu navegador
- No dejes un dispositivo desbloqueado con GetProofed abierto si la obra es delicada
- Mantén la sesión iniciada para que tus fotos se sigan respaldando en tu cuenta
- Nunca envíes números de tarjeta por correo electrónico