Seguridad
Seguridad en DueVestor
Cómo mantenemos sus datos — y los datos de sus sujetos — protegidos en tránsito, en reposo y frente a amenazas internas.
Cifrado
TLS 1.2+ en tránsito (terminado en Cloudflare, cifrados modernos). Las copias de seguridad de la base de datos se cifran antes de salir del host.
Controles de acceso
El acceso a producción está limitado a un único operador fundador. Las operaciones administrativas sensibles pasan por un registro de auditoría (ADR-058) con una retención de 2 años. El acceso mediante API es opaco por clave (hash HMAC-SHA256; ADR-056) — una filtración del volcado de BD no puede reproducir una clave sin el secreto de la aplicación.
Firewall de aplicaciones web y protección DDoS
DueVestor opera detrás de la red Cloudflare de nivel Pro — proporcionando capacidad de firewall de aplicaciones web (WAF), mitigación automática de DDoS y filtrado de bots en el perímetro de la red. Las reglas WAF gestionadas protegen contra los patrones de ataque OWASP Top 10 antes de que lleguen a la capa de aplicación.
Notificación de vulnerabilidades
Envíe un correo a [email protected] con una descripción, los pasos de reproducción y su puntuación CVSS sugerida. Nos comprometemos a acusar recibo en 72 horas y a corregir o explicar en un plazo de 30 días. No se ofrecen recompensas económicas en v1; crédito público en el post-mortem si lo desea.
Qué enviamos a los LLM
La elaboración de informes se ejecuta en Google Cloud Vertex AI (EU Multi-Region), con Amazon Web Services Bedrock (eu-central-1) como segunda ruta europea. Anthropic es solo una alternativa: si ambas rutas europeas no están disponibles, el informe se pone en pausa y solo se procesa mediante Anthropic en servidores de Estados Unidos tras el consentimiento explícito y registrado del cliente (conservación por el proveedor: 30 días). Los datos del sujeto enviados a Anthropic se envían bajo un contrato de no entrenamiento: no se usan para entrenar modelos.
Sub-encargados del tratamiento
DueVestor utiliza los siguientes sub-encargados del tratamiento para prestar el servicio. Notificamos a los clientes con 30 días de antelación antes de incorporar cualquier sub-encargado que trate datos personales de la UE.
| Proveedor | Finalidad | Región |
|---|---|---|
| RunPod | Hosting — application, database, workers | EEA |
| Cloudflare | CDN + DNS + WAF + DDoS protection + file storage (R2) | Global |
| Google Cloud (Vertex AI) | LLM inference — first European route | EU Multi-Region |
| Amazon Web Services (Bedrock) | LLM inference — second European route | EU (eu-central-1) |
| Anthropic | LLM inference — fallback only, consent-gated for reports (no-training contract) | US |
| Resend | Transactional email | US |
| Twilio | SMS / phone verification | US |
| PayPal | Credit purchases | US |
| GitHub | Source code hosting (no user data) | US |
¿Necesita un DPA firmado?
Los clientes pueden solicitar un Acuerdo de Procesamiento de Datos firmado.
Ver / firmar DPA →