Datos y Cumplimiento

Seguridad técnica

• Datos en reposo: cifrado AES-256
• Datos en tránsito: TLS 1.3
• Contraseñas: bcrypt (cost 12), nunca en texto plano
• Tokens Google: almacenados cifrados, nunca expuestos al cliente
• Sesiones: cookies httpOnly, SameSite=strict, secure en producción
• Backups automáticos: diarios con retención de 30 días
• Aislamiento por usuario: Row Level Security (RLS) en Postgres — ningún usuario puede ver los datos de otro

Headers de seguridad activos

• Content-Security-Policy
• Strict-Transport-Security (HSTS 2 años + preload)
• X-Frame-Options: SAMEORIGIN
• X-Content-Type-Options: nosniff
• Referrer-Policy: strict-origin-when-cross-origin
• Permissions-Policy: camera=(), microphone=(), geolocation=()

Cumplimiento regulatorio

• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP)
• Unión Europea: Reglamento General de Protección de Datos (GDPR) compatible
• Pagos: PCI DSS Level 1 a través de Stripe
• Google APIs: uso limitado con scopes mínimos (drive.file, spreadsheets, calendar)

Aislamiento de datos por usuario

Cada cuenta tiene sus datos completamente aislados. Row Level Security en Postgres garantiza que ningún usuario puede acceder a los datos de otro, incluso en la misma base de datos. Las políticas se aplican a nivel de tabla, no de aplicación — así, ni siquiera un bug en nuestro código puede exponer datos entre cuentas.

Tu Google Sheet privada

Cuando conectas tu cuenta de Google, creamos una hoja llamada "Anota — Mis Anotaciones" en tu propio Google Drive. Nosotros solo escribimos filas ahí; nunca la almacenamos, replicamos ni respaldamos. Si eliminas nuestro acceso desde tu cuenta Google, dejamos de escribir instantáneamente.

Incidentes de seguridad

En caso de brecha de seguridad, notificaremos por email a todos los usuarios afectados en un máximo de 72 horas, con detalle del incidente y las medidas tomadas.

Solicitudes de eliminación

Puedes solicitar la eliminación completa de tus datos cuando quieras. Escribe a info@jupaficonsultores.com. Ejecutamos el borrado en máximo 30 días naturales y te confirmamos por email.

Reporte responsable de vulnerabilidades

Si detectaste una vulnerabilidad de seguridad, reportala en privado a info@jupaficonsultores.com con el asunto "Security Report". Respondemos en 24 horas y agradecemos con reconocimiento público (o anónimo, tú eliges).