Prácticas de seguridad

Infraestructura

• Alojado en Vercel con HTTPS automático, protección DDoS y entrega en borde global.
• Base de datos, autenticación y almacenamiento de archivos con Supabase en AWS (región US-Este).
• Las políticas de seguridad a nivel de fila (RLS) se aplican en la capa de base de datos — ninguna consulta se ejecuta sin validación de permisos.

Cifrado

• Todos los datos en tránsito están cifrados con TLS 1.2 o superior. HTTPS es obligatorio en todas las rutas.
• Los datos en reposo están cifrados con AES-256 mediante claves gestionadas por AWS.
• CrecyStudio nunca almacena contraseñas. El acceso al espacio de trabajo del cliente usa enlaces con token firmado, no contraseñas.

Acceso al espacio de trabajo del cliente

• Cada espacio de trabajo es accesible mediante un token firmado criptográficamente único — sin credenciales compartidas.
• Los tokens expiran tras 30 días de inactividad y requieren reautenticación después de expirar.
• El acceso de administrador sigue un camino de autenticación completamente separado del de los espacios de trabajo de clientes.

Aislamiento de datos

• Los datos de cada cliente están aislados mediante políticas RLS — ningún cliente puede acceder a los datos de otro.
• El almacenamiento de archivos usa controles de acceso por proyecto. Solo las partes autenticadas con un token válido para ese proyecto pueden acceder a sus archivos.

Copias de seguridad y recuperación

• Copias de seguridad automáticas diarias de la base de datos con retención de 7 días.
• La recuperación en un punto en el tiempo está disponible dentro de la ventana de retención activa.
• Las copias de seguridad se almacenan en el mismo entorno AWS cifrado que los datos en vivo.

Subprocesadores

Los datos solo se comparten con los proveedores necesarios para operar nuestra plataforma. Cada uno está contractualmente obligado a proteger tus datos.

Lo que no hacemos

• No vendemos, compartimos ni licenciamos datos de clientes a terceros.
• No subcontratamos trabajo de desarrollo. Komlan es la única persona con acceso a los entornos de clientes y código fuente.
• No conservamos datos de clientes indefinidamente. Los proyectos se archivan tras 1 año y se eliminan tras 3 años salvo obligación legal contraria.
• No almacenamos datos de tarjetas de pago. Todo el procesamiento de pagos es gestionado íntegramente por Stripe.

Tus responsabilidades

• Mantén tu enlace de espacio de trabajo privado. No lo reenvíes a nadie que no forme parte de tu equipo de proyecto.
• Usa una sesión de navegación privada o incógnito cuando accedas a tu espacio de trabajo desde un dispositivo compartido.
• Reporta cualquier actividad sospechosa inmediatamente a hello@crecystudio.com.
• Revoca el acceso al espacio de trabajo de los miembros del equipo que abandonen tu organización.

Divulgación de vulnerabilidades

Para reportar un problema de seguridad, escribe a hello@crecystudio.com con asunto «Seguridad». Confirmamos la recepción de todos los informes en 48 horas y nos comprometemos a resolver las vulnerabilidades confirmadas en 72 horas.