Seguridad

Seguridad y protección de datos

Sus facturas y los datos de sus clientes son información delicada. Esto es lo que hacemos para protegerlos, y también lo que todavía no tenemos.

Dónde están sus datos

La aplicación y la base de datos están alojadas en Frankfurt (Alemania, UE), en Render. La base de datos no es accesible desde internet: solo desde la red privada del proveedor. Los emails salen a través de Resend, desde servidores en Irlanda (UE).

Cada empresa, separada en la base de datos

Los datos de cada empresa están separados en la propia base de datos con seguridad a nivel de fila: cada consulta solo puede ver las filas de la empresa con la que se ha entrado. La separación no depende solo del código de la aplicación.

Cifrado

• La web solo funciona con conexión cifrada (HTTPS), y el navegador recuerda que no debe usar otra (HSTS).
• Las contraseñas no se guardan: solo una huella (scrypt) que no permite recuperarlas.
• La clave de la verificación en dos pasos se guarda cifrada (AES-256-GCM). De las sesiones y de los enlaces de un solo uso solo se guarda una huella.

Acceso a las cuentas

• Verificación en dos pasos con una app de códigos (Google Authenticator, Microsoft Authenticator, 1Password…), con códigos de recuperación. Un administrador puede hacerla obligatoria para todo el equipo.
• Contraseñas de al menos 12 caracteres, que se comprueban contra filtraciones conocidas sin enviarlas.
• Límite de intentos al entrar y al escribir códigos.
• Aviso por correo cuando alguien entra en su cuenta desde un dispositivo nuevo.
• Las sesiones se cierran a los 7 días o tras 12 horas sin uso, y en «Mi cuenta» puede ver y cerrar las que tenga abiertas.
• Cada persona del equipo entra con su propia cuenta, como administrador o como miembro, y el historial registra quién hizo qué y cuándo.

Cambios en los datos de pago

Para cambiar el IBAN, el Bizum o el enlace de pago que ven sus clientes hay que volver a escribir la contraseña (y el código de la verificación en dos pasos, si la tiene). El cambio queda en el historial de seguridad y se avisa por correo a todos los administradores.

Nada sale sin usted, y su dinero no pasa por aquí

Ningún recordatorio se envía sin la aprobación de una persona de su equipo. CobroControl no tiene acceso a su banco y no recibe ni mueve dinero: sus clientes le pagan directamente a usted.

Copias de seguridad y sus datos

La base de datos tiene las copias de seguridad automáticas del proveedor (Render). Los datos que se borran siguen en esas copias hasta que caducan. Además, un administrador puede descargar en cualquier momento todos los datos de su empresa (JSON y CSV) y pedir que se eliminen.

Asistencia de IA

Está desactivada por defecto. Si la activa, para redactar un recordatorio no se envía ningún dato de sus clientes ni de sus facturas: la aplicación los añade después. Para sugerir la clasificación de una respuesta, en cambio, sí se envía al proveedor de IA el texto que usted pega, que puede contener datos de su cliente.

Lo que todavía no tenemos

CobroControl no tiene todavía una auditoría de seguridad externa ni certificaciones como la ISO 27001.

¿Ha encontrado un fallo?

Escríbanos a soporte@cobrocontrol.com con los detalles. Más información sobre el tratamiento de los datos en Privacidad.