Seguridad y privacidad

Dónde están los datos

La base de datos y los archivos están en São Paulo, en Supabase. Las funciones del servidor corren en São Paulo, en Vercel, y las páginas estáticas pasan por la red global de entrega. Los otros servicios que tocan algún dato están en la lista de subencargados, con el país de cada uno.

Una empresa nunca ve los datos de otra

• En cada tabla, la propia base de datos solo entrega las filas de la empresa que consulta (row-level security).
• En cada solicitud, el servidor verifica en la base de datos a qué empresa perteneces y cuál es tu rol. Decir en el navegador que eres de otra empresa no abre nada.
• Tenemos pruebas automáticas que intentan leer, modificar, borrar e insertar datos de una empresa usando la cuenta de otra, y que deben fallar.

Cifrado

Todo el tráfico usa HTTPS, con HSTS de 2 años para que el navegador nunca caiga en una conexión abierta. El proveedor de la base de datos cifra los datos en reposo. Las claves de API y los tokens de integración reciben además un cifrado propio (AES-256), con la clave fuera de la base de datos.

Acceso y roles

Se entra por un enlace o código enviado al correo, o con una cuenta de Google. Dentro de la empresa hay cinco roles: dueño, admin, gerente, miembro y solo lectura. Solo lectura únicamente ve, el miembro importa datos y pide conexiones, el gerente también aprueba mejoras, el admin gestiona el equipo y la configuración, el dueño borra la empresa. El rol se verifica en el servidor en cada solicitud. La demostración también abre con la cuenta: las empresas de ejemplo solo aparecen para las cuentas que habilitamos. La demostración con los números de quien la mira acepta además una contraseña de acceso, y esa pantalla no graba nada en nuestra base de datos. Del lado de GrowRockets, las pantallas internas que leen datos de empresas se abren solo para una lista cerrada de correos del equipo, con correo confirmado, verificada en el servidor.

Otras protecciones

Lo que está activo hoy:

• Cada empresa ve solo sus propios datos: la base de datos aplica el acceso por empresa en cada tabla (row-level security) y probamos que una empresa no lee, no modifica y no borra datos de otra
• Conexión cifrada (HTTPS) en todo el sitio, con HSTS de 2 años, y datos cifrados en reposo por el proveedor de la base de datos
• Claves de API y tokens de integración cifrados con AES-256 antes de entrar a la base de datos, con la clave guardada fuera de ella
• Acceso por enlace o código enviado al correo, o por cuenta de Google, con roles dentro de la empresa (dueño, admin, gerente, miembro y solo lectura) verificados en el servidor en cada solicitud
• Política de seguridad de contenido (CSP) con un código nuevo por página, encabezados contra clickjacking y detección de tipo de archivo, y protección contra solicitudes de otros sitios en las acciones que cambian datos
• Límite de solicitudes por persona y por red, verificación antirrobots y campo trampa en los formularios públicos
• Reportes de error sin cuerpo de solicitud, cookies, correo ni variables del código, eliminados antes de salir del servidor
• Secretos solo en el servidor: ninguna clave secreta llega al navegador, y pruebas automáticas lo verifican

Tus derechos

Dentro de Radar, en Configuración, en la sección "Privacidad y datos", cada persona descarga sus propios datos, corrige su nombre y borra su cuenta, sin esperar la respuesta de nadie. Dueños y admins también descargan los datos de la empresa. Para cualquier otra cosa, o para una solicitud de tu empresa sobre datos de sus clientes, escribe al encargado de datos. El escaneo de ingresos se borra solo en el plazo de arriba; borrar la cuenta borra también los escaneos hechos con ella o con el mismo correo.

Rony Lussari: privacidade@growrockets.com (rony@growrockets.com)

Si algo sale mal

Si un incidente afecta datos personales, avisamos a la empresa cliente sin demora indebida. Cuando somos los responsables, comunicamos a la autoridad de protección de datos de Brasil (ANPD) y a las personas en el plazo de la ley. El aviso dice qué pasó, qué datos, qué ya hicimos y qué puede hacer la empresa.

Certificaciones y pruebas

No tenemos certificación SOC 2 ni ISO 27001 y no afirmamos ninguna. Nuestros controles siguen la misma línea que esas normas, y podemos responder el cuestionario de tu equipo de seguridad. Hoy no tenemos un informe de pruebas de intrusión de un tercero independiente para compartir.

¿Encontraste una falla?

Escribe a privacidade@growrockets.com. Por favor, no hagas pruebas que afecten a otras personas ni accedas a datos que no son tuyos. Respondemos en un máximo de 3 días hábiles y no tomamos medidas contra quien avisa de buena fe. La dirección también está en /.well-known/security.txt.