Política de Seguridad

Nos comprometemos a mantener la seguridad, la confidencialidad y la integridad de los datos personales y del contenido creativo que se nos confía. Aplicamos buenas prácticas estándar del sector, adecuadas a la naturaleza y sensibilidad de los datos que tratamos.

Aplicamos las siguientes medidas:

• Cifrado en tránsito: todos los datos transmitidos entre tu navegador y nuestros servidores se cifran con TLS 1.3 (HTTPS)
• Seguridad de contraseñas: las contraseñas se hashean con bcrypt y 12 rondas de salt. Nunca almacenamos contraseñas en texto plano
• Autenticación: tokens JWT con caducidad de 7 días y controles de acceso por roles
• Seguridad en pagos: todo el procesamiento de pagos lo gestiona Stripe, certificada PCI-DSS de nivel 1. Nunca almacenamos números de tarjeta completos
• Seguridad de la base de datos: MongoDB Atlas con conexiones cifradas, copias de seguridad automatizadas y controles de acceso
• Almacenamiento de imágenes: CDN de Cloudinary con endpoints de subida seguros y entrega de archivos con control de acceso
• Verificación por email: obligatoria para activar la cuenta y evitar la creación de cuentas no autorizadas

Todos los datos están aislados por ID de usuario: solo puedes acceder a tus propias obras, clústeres y datos de cuenta. Los endpoints de la API verifican la propiedad en cada solicitud. El acceso de administración está restringido a personal autorizado con controles por roles.

Ante un incidente de seguridad o brecha de datos: contendremos y evaluaremos la brecha de inmediato, notificaremos a la Agencia Española de Protección de Datos (AEPD) en un plazo de 72 horas conforme al artículo 33 del RGPD, avisaremos a las personas usuarias afectadas sin dilación indebida si la brecha supone un riesgo alto para sus derechos (art. 34 RGPD) y aplicaremos medidas correctivas para evitar su repetición.

Si descubres una vulnerabilidad de seguridad en el Servicio, repórtala de forma responsable a: security@pablito.app. Incluye una descripción y los pasos para reproducirla. Confirmaremos la recepción en 48 horas y trabajaremos para resolver con prontitud las vulnerabilidades confirmadas. Te pedimos que no divulgues públicamente las vulnerabilidades hasta que tengamos una oportunidad razonable de abordarlas.

Para consultas sobre seguridad: security@pablito.app Para consultas sobre protección de datos: privacy@pablito.app