Seguridad en RGIA

• En tránsito: todo el tráfico viaja por HTTPS/TLS. No exponemos ningún endpoint sin cifrar.
• En reposo: los datos se guardan en Google Cloud Firestore, cifrado en reposo de forma predeterminada por Google.

• Tokens de sesión que expiran en 30 minutos. No usamos tokens permanentes ni credenciales embebidas en el token.
• Rotación: el token de renovación se invalida y se reemplaza en cada uso. Un token robado deja de servir al instante siguiente.
• Cierre de sesión real: se invalida en el servidor, no solo en el navegador.

Cada cliente tiene su identificador propio y toda consulta se filtra por él: un cliente no puede leer las conversaciones ni los datos de otro. El acceso al panel es individual y revocable.

Las llaves de API y credenciales viven en variables de entorno cifradas del proveedor, nunca en el código ni en el repositorio. Son revocables y rotables sin redesplegar la aplicación.

Trabajamos con proveedores establecidos. Estos son todos los que pueden procesar datos de tu operación:

Infraestructura alojada en Estados Unidos. Si necesitas el detalle de región para tu evaluación, escríbenos y te lo confirmamos por escrito.

Todo desarrollo se evalúa contra un estándar interno de 13 capas de producción: autenticación y sesiones, autorización, base de datos, secretos, endpoints, cifrado, hosting y despliegue, dependencias, registros, monitoreo, respaldos, límites de abuso y respuesta a incidentes.

Somos transparentes con lo que aún no tenemos: no hemos realizado una prueba de penetración externa. Si tu proceso de compra la requiere, dínoslo — la agendamos y compartimos el reporte contigo.