Seguridad
Seguridad en DueVestor
Cómo mantenemos sus datos — y los datos de sus sujetos — protegidos en tránsito, en reposo y frente a amenazas internas.
Cifrado
TLS 1.2+ en tránsito (terminado en Cloudflare, cifrados modernos). Las copias de seguridad de la base de datos se cifran antes de salir del host.
Controles de acceso
El acceso a producción está limitado a un único operador fundador. Las operaciones administrativas sensibles pasan por un registro de auditoría (ADR-058) con una retención de 2 años. El acceso mediante API es opaco por clave (hash HMAC-SHA256; ADR-056) — una filtración del volcado de BD no puede reproducir una clave sin el secreto de la aplicación.
Firewall de aplicaciones web y protección DDoS
DueVestor opera detrás de la red Cloudflare de nivel Pro — proporcionando capacidad de firewall de aplicaciones web (WAF), mitigación automática de DDoS y filtrado de bots en el perímetro de la red. Las reglas WAF gestionadas protegen contra los patrones de ataque OWASP Top 10 antes de que lleguen a la capa de aplicación.
Notificación de vulnerabilidades
Envíe un correo a [email protected] con una descripción, los pasos de reproducción y su puntuación CVSS sugerida. Nos comprometemos a acusar recibo en 72 horas y a corregir o explicar en un plazo de 30 días. No se ofrecen recompensas económicas en v1; crédito público en el post-mortem si lo desea.
Qué enviamos a los LLM
Los datos del sujeto enviados a Anthropic se rigen por un contrato de no entrenamiento — no se utilizan para entrenar modelos.
Sub-encargados del tratamiento
DueVestor utiliza los siguientes sub-encargados del tratamiento para prestar el servicio. Notificamos a los clientes con 30 días de antelación antes de incorporar cualquier sub-encargado que trate datos personales de la UE.
| Proveedor | Finalidad | Región |
|---|---|---|
| RunPod | Hosting — application, database, workers | EEA |
| Cloudflare | CDN + DNS + WAF + DDoS protection + file storage (R2) | Global |
| Anthropic | LLM inference (no-training contract) | US |
| Resend | Transactional email | US |
| Twilio | SMS / phone verification | US |
| PayPal | Credit purchases | US |
| GitHub | Source code hosting (no user data) | US |
¿Necesita un DPA firmado?
Los clientes pueden solicitar un Acuerdo de Procesamiento de Datos firmado.
Ver / firmar DPA →