Seguridad y privacidad
Aquí solo contamos lo que el sistema hace hoy y se puede comprobar. Si algo todavía no existe, lo decimos.
Cifrado en tránsito
Todo viaja por HTTPS. Las visitas por HTTP se redirigen a HTTPS y el navegador recibe la orden de usar solo HTTPS durante dos años (HSTS).
Sesiones firmadas
La sesión es una cookie firmada con HMAC-SHA256, marcada HttpOnly y Secure, que el código de la página no puede leer. Puedes cerrar tus sesiones en todos los dispositivos desde «Mi cuenta».
Protección contra peticiones falsas
Las acciones que cambian algo en tu cuenta exigen una cabecera propia de la plataforma que otro sitio no puede enviar (anti-CSRF).
Sin datos de tarjeta
Promtdea nunca recibe ni guarda el número de tu tarjeta: se escribe en la página de la pasarela de pagos. Hoy todavía no hay una pasarela conectada.
Claves solo como huella
Los códigos de acceso, tu clave personal y la clave del panel de tus apps se guardan solo como huella (hash) y se comparan en tiempo constante. Tu dirección IP tampoco se guarda en claro.
Defensas del navegador
Política de seguridad de contenido (CSP), bloqueo de incrustación por sitios ajenos, sin referer hacia otros sitios y permisos de cámara, micrófono y ubicación solo para nuestro propio dominio.
Cuentas y acceso
- Entras con un código o con tu clave personal; no usamos contraseñas que puedas reutilizar en otros sitios.
- Tras varios intentos fallidos con un código o una clave, la plataforma bloquea esa red por un tiempo.
- Cada organización solo ve lo suyo, y cada persona tiene un rol (usuario, líder, administrador) con permisos distintos.
- Las acciones administrativas quedan en un registro de auditoría, sin códigos, claves ni el contenido completo de las peticiones.
- La clave del panel de una app nunca viaja en la dirección de la página.
Pagos
- Las recargas se pagan en la página de la pasarela (según el país: Wompi, dLocal Go, Stripe, PayPal o Mercado Pago, cuando estén conectadas).
- Si guardas una tarjeta para la recarga automática, guardamos solo la referencia que nos da la pasarela, la marca y los últimos cuatro dígitos.
- Antes de acreditar créditos verificamos la firma del aviso de la pasarela y volvemos a consultar la transacción.
Inteligencia artificial
- Al modelo de lenguaje le enviamos solo lo necesario para construir tu app, asesorarte o responder un mensaje; nunca la lista de usuarios, los códigos ni las claves.
- No usamos tus datos para entrenar modelos.
- Si la IA no está disponible, la plataforma lo dice y sigue funcionando por plantillas y reglas, sin cobrarte la IA que no usó.
Proveedores y dónde están los datos
Nos apoyamos en estos proveedores. Los datos de la plataforma se alojan en Estados Unidos.
| Proveedor | Para qué | Dónde |
|---|---|---|
| Vercel | Alojamiento de la plataforma, ejecución del servidor y almacenamiento privado de los proyectos, las capturas y los respaldos. | Estados Unidos (región de Washington D. C.) |
| Neon | Base de datos de cuentas, créditos, movimientos, radicados y auditoría. | Estados Unidos (AWS, Virginia) |
| Anthropic | Modelos de lenguaje. | Estados Unidos |
| Pasarelas de pago | Cobro de las recargas, cuando estén conectadas. | Según la pasarela |
| Resend | Correos de servicio, cuando esté activo (hoy no lo está). | Estados Unidos |
| Google Fonts, Unsplash y Pexels | Tipografías y fotografías que tu navegador descarga directamente. | Estados Unidos |
La lista completa, con los servicios que solo se usan si tú los conectas, está en la Política de datos personales.
Cuánto guardamos cada cosa
| Dato | Cuánto tiempo |
|---|---|
| Proyectos publicados | Mientras estén vigentes según su plan; vencidos o retirados, se borran tras 7 días de gracia. |
| Capturas y conversaciones de los bots | Hasta 30 días después de que el proyecto vence o se retira. |
| Radicados de soporte y de datos personales | 90 días desde la radicación. |
| Registro de auditoría | 365 días. |
| Códigos de acceso caducados o usados | 24 horas. |
| Respaldos de la base de datos | Semanales; se conservan 8 semanas. |
| Cuenta y movimientos de créditos | Mientras la cuenta exista; al darte de baja se borran tu nombre, alias y correo y los movimientos quedan con un identificador anónimo. |
Una purga automática corre todos los días en el servidor y borra lo que cumplió su plazo. Puedes darte de baja desde «Mi cuenta» o desde la página de baja, y pedir la supresión de tus datos con el bot Ayuda y PQR.
Disponibilidad
Probamos la plataforma cada 10 minutos y publicamos el resultado, con los incidentes, en Estado de Promtdea.
Certificaciones
No tenemos certificaciones de seguridad de terceros (por ejemplo ISO 27001 o SOC 2) ni auditorías externas publicadas. Si las obtenemos, las publicaremos aquí con su alcance y su fecha.
Reportar una vulnerabilidad
Si encuentras una falla de seguridad, escríbenos a support@promtdea.com con el asunto «Seguridad». Cuéntanos qué encontraste, cómo reproducirlo y qué impacto crees que tiene.
- Investiga de buena fe: no accedas a datos de otras personas, no los modifiques y no afectes el servicio de los demás.
- Danos tiempo razonable para corregirla antes de hacerla pública.
- Te responderemos por el mismo correo y te contaremos cuándo quede corregida.