Seguridad
Texto provisional, pendiente de revisión jurídica. No es la versión definitiva.
Traducción de la versión francesa, la única que da fe.
Sus datos y los de sus clientes nos han sido confiados. Esta página describe lo que hacemos para protegerlos. Solo habla de medidas ya implantadas.
Alojamiento en Francia
Nuestros servicios están alojados en Scaleway, en Francia. Los correos electrónicos que le enviamos salen a través de Scaleway, en Francia. Las copias de seguridad también se almacenan en Francia.
Sus datos siguen siendo suyos
Cada cuenta de cliente está aislada de las demás, en dos niveles:
- en el código de la aplicación, que solo lee los datos de la cuenta en curso;
- en la propia base de datos, que rechaza cualquier lectura o escritura fuera de la cuenta en curso.
Si se colara un error en el código, el resultado sería una página vacía, no una fuga. Unas pruebas automáticas verifican este aislamiento en cada modificación del código, incluidos los procesos en segundo plano.
Nuestro equipo no tiene ninguna herramienta para entrar en su cuenta. Si necesita ayuda, nos muestra su pantalla.
Inicio de sesión y cuentas
- Autenticación de dos factores para todas las cuentas, sea cual sea la suscripción: aplicación de autenticación, llaves de acceso (passkeys) y códigos de recuperación.
- Autenticación de dos factores exigible: una cuenta puede exigirla a todos sus miembros.
- Confirmación para las acciones sensibles: cambiar un rol, exportar datos, modificar el inicio de sesión de empresa o la facturación exige una verificación reciente del segundo factor. Una contraseña sola no basta.
- Inicio de sesión con Google o Microsoft, sin vinculación automática a una cuenta existente basándose únicamente en la dirección de correo electrónico.
- Inicio de sesión de empresa (SSO) en SAML u OpenID Connect, tras la verificación de su dominio.
- Equipo interno: la autenticación de dos factores es obligatoria para acceder a nuestras herramientas de administración.
Permisos y claves de API
- Cada acción la autoriza o la rechaza el servidor, según el rol de la persona.
- Una clave de API solo se muestra una vez. Solo conservamos una huella de ella. Sus permisos nunca superan los de la persona que la creó, y puede revocarla en cualquier momento.
Cifrado
- Todas las conexiones pasan por HTTPS.
- Las credenciales de sus herramientas conectadas (sus CRM, por ejemplo) están cifradas en nuestra base de datos.
- Las copias de seguridad se cifran antes de salir del servidor.
Registro de auditoría
Las acciones importantes se inscriben en un registro de auditoría: quién, qué, cuándo, desde qué dirección. Este registro no puede modificarse. Se conserva tres años. Puede consultarlo desde su cuenta.
Sus datos, de principio a fin
- Exportación completa de sus datos en cualquier momento, protegida por la autenticación de dos factores.
- Supresión de sus contactos y de sus respuestas 30 días después de la rescisión, tras haberle dado tiempo para exportarlos. Nuestras copias de seguridad cifradas se borran solas en los 30 días siguientes, es decir, unos 60 días en total.
Inteligencia artificial
Algunos análisis utilizan una IA: Claude (Anthropic), tratada en la Unión Europea. Antes de cualquier envío, retiramos las direcciones de correo electrónico, los números de teléfono, los enlaces, los datos bancarios y los nombres conocidos. Puede desactivar la IA para su cuenta.
Integraciones
- Los webhooks que le enviamos están firmados: puede comprobar que proceden realmente de nosotros.
- El widget integrado en su aplicación verifica la identidad de sus usuarios mediante una firma calculada en su servidor. No instala ninguna cookie.
Errores y supervisión
Los informes de errores técnicos no contienen ni el contenido de las solicitudes, ni las variables del programa, ni la identidad de los usuarios.
Desarrollo
Cada modificación del código pasa controles automáticos antes de entregarse: pruebas, verificación del aislamiento entre cuentas, verificación de las licencias.
Notificar una vulnerabilidad
¿Cree que ha encontrado una brecha? Gracias por notificárnosla a security@scaliamo.com. Nuestra política de divulgación de vulnerabilidades explica cómo hacerlo y a qué nos comprometemos a cambio.