Seguridad y confianza

Aislamiento entre empresas

Cada registro pertenece a una empresa y toda consulta se filtra por ella.
Además, la base de datos aplica Row-Level Security: aunque una consulta tuviera un error, la base no devuelve datos de otra empresa.
El aislamiento se verifica con pruebas automáticas en cada cambio.
El acceso de nuestro personal de plataforma a una empresa queda registrado.

Identidad y accesos

Contraseñas almacenadas con scrypt, comparación en tiempo constante y respuesta idéntica para usuarios inexistentes.
Sesiones guardadas con el hash del token, cookie __Host- httpOnly y segura, una sola sesión activa por usuario y posibilidad de revocarla.
Permisos granulares por rol, recalculados en cada pedido. La identidad sale siempre de la sesión.
Bloqueo ante intentos repetidos por cuenta, por IP y por legajo, y límites en importaciones, exportaciones y sincronización.
Verificación facial al fichar la entrada y salida, y verificaciones durante la ronda.
Las contraseñas definidas por un administrador deben cambiarse en el primer ingreso.

Protección de los datos

Conexiones cifradas con TLS y HSTS.
Política de seguridad de contenido (CSP), frame-ancestors restringido y cabeceras de endurecimiento del navegador.
Fotos y archivos en un almacenamiento privado: solo se sirven mediante rutas que verifican permiso.
La base de datos y el almacenamiento corren en una red interna sin salida a internet.
Los descriptores faciales se comparan en el servidor y no se exponen al navegador.

Respaldos y continuidad

Respaldo diario de la base de datos, verificado automáticamente después de generarse.
Retención: 7 diarios, 4 semanales y 6 mensuales. Las imágenes se replican también a diario, en un almacenamiento con versionado.
Procedimiento de restauración documentado.
Monitoreo de salud, aviso ante fallas de respaldo y página de estado.

Auditoría y retención

Registro de accesos con IP: ingresos, cambios de contraseña, verificaciones faciales, fichajes, bloqueos, cambios de rol y cierres administrativos.
Purga automática: fotos de intentos faciales fallidos a los 90 días y sesiones vencidas a los 30 días.
Los plazos de cada dato están detallados en la política de privacidad.

Tus datos son tuyos

Exportación completa en CSV, XLSX o ZIP, hecha por vos y sin pedir permiso.
Tu empresa es la responsable de sus datos; nosotros los tratamos como encargados según tus instrucciones (DPA).
Lista pública de subencargados.

En qué estamos trabajando

Para ser transparentes: hoy no contamos con certificaciones ISO 27001 ni SOC 2, ni con autenticación en dos pasos, cifrado a nivel de aplicación de los datos en reposo o prueba de vida en el reconocimiento facial. Son prioridades de la hoja de ruta de seguridad; no las anunciamos como disponibles hasta que lo estén.

Divulgación responsable

Si encontrás una vulnerabilidad, escribinos desde la página de contacto con el detalle para reproducirla. Pedimos que no accedas a datos de otras personas, no degrades el servicio y nos des un plazo razonable para corregirla. Respondemos en pocos días hábiles y no iniciamos acciones contra quien actúe de buena fe. Nuestro security.txt tiene los datos de contacto.