Seguridad

La seguridad de este servicio tiene dos características que conviene decir de entrada. La primera: no hay pagos, no hay datos de tarjetas y no hay datos bancarios en nuestros sistemas. La segunda: el servicio funciona sin cuenta, así que hay menos superficie de ataque que en un producto que guarda perfiles y tarjetas.

Aun así, un planificador de viajes guarda información que a veces es delicada: fechas de viaje, con quién viajas, qué destinations te interesan y, si usas el chat, todo lo que has escrito. Lo que sigue describe cómo la tratamos.

La base de datos del servicio se copia de forma periódica y las copias se guardan cifradas y con una ventana de retención limitada. Una copia de seguridad que no se ha restaurado nunca no es una copia de seguridad: el procedimiento de restauración se prueba de forma periódica, no solo la copia.

Los datos de los viajes se separan de los datos de la cuenta en la misma base de datos mediante claves foráneas, de forma que una cuenta eliminada arrastra en cascada todo lo que le pertenece y no queda contenido huérfano.

No tratamos datos de pago. No hay pasarela de pago, no hay campos de tarjeta, no hay tokens de pago y no hay datos bancarios. Cuando reservas, lo haces en el sitio del proveedor, con tus datos y con tus medios de pago.

Esto no es una casualidad: es una de las decisiones de diseño del producto. Un planificador de viajes no necesita ver tu tarjeta para planear tu viaje, y no la pide.

Trabajamos con un número corto de proveedores: el de inteligencia artificial, los de inventario, el de email, el de hosting y el de mapas. La lista, con el papel de cada uno y su política, está en el documento de subprocesadores.

Cada proveedor recibe solo el dato que necesita para hacer su trabajo. El proveedor de IA recibe el contexto del viaje; los de inventario reciben los parámetros de una búsqueda; ninguno recibe tu email ni tu nombre para poder devolverte precios.

Si un incidente compromete datos personales, el plan es el siguiente: aislar y corregir el acceso, evaluar qué datos y cuántas cuentas están afectados, avisar a los usuarios afectados y a la autoridad de control competente cuando la normativa lo exige, y documentar lo ocurrido para que no se repita.

Publicamos el plazo de respuesta comprometido: nos comprometemos a responder a los usuarios afectados en un máximo de setenta y dos horas desde que confirmamos el impacto. Si el incidente afecta a un subprocesador, le exigimos el mismo nivel de aviso.

No tenemos certificaciones de SOC 2 ni de ISO 27001, y no vamos a escribir que sí mientras no las tengamos. Tampoco vamos a decir que cumplimos el RGPD al cien por cien: lo que hacemos es describir medidas concretas, que es algo verificable, y aceptar que un auditor externo viene después.

Un producto pequeño y transparente que dice la verdad sobre su postura de seguridad es más útil que uno que promete certificaciones que no ha sostenido. Cuando las tengamos, esta página lo dirá con el nombre de la norma, la entidad que auditó y la fecha.

Si encuentras un fallo de seguridad, escríbenos a la dirección de soporte que aparece en el aviso legal con el asunto correspondiente. No lo publiques antes de avisarnos:Dao tiempo para corregirlo y te agradeceremos la espera.

Nos comprometemos a acusar recibo en un plazo de dos días hábiles y a mantenerte informado hasta que esté resuelto. No hay recompensa por la búsqueda de fallos: no es un programa de seguridad, es un favor que hacemos bien si avisas primero.