Esta traducción se ofrece para su comodidad. La versión en inglés es la vinculante y prevalece en caso de conflicto o diferencia de significado. Leer la versión en inglés.
Seguridad
Lo que hacemos hoy, no lo que tenemos previsto.
Esta página describe las medidas vigentes el 30 de octubre de 2026. La versión vinculante es el Anexo 2 del Contrato de encargo del tratamiento (DPA).
01
Alojamiento y datos
La aplicación se ejecuta en Vercel. La base de datos de clientes y la autenticación las aloja Supabase en AWS, en Irlanda (UE): los datos de los clientes se almacenan en la UE, cifrados en reposo, con seguridad por filas, de modo que los registros de cada cliente solo pueden leerlos los usuarios de ese cliente y el servicio cuando actúa en su nombre. Las funciones de Vercel y los proveedores de IA se ejecutan fuera de la UE, por lo que el tratamiento no se limita a la UE; la Política de privacidad enumera cada proveedor con su ubicación.
Las copias de seguridad están cifradas, se generan automáticamente en el proveedor con recuperación a un momento determinado y se rotan en un plazo de 30 días.
02
Acceso
El personal utiliza cuentas individuales con verificación en dos pasos, que es obligatoria en todo inicio de sesión de administración y del equipo y está disponible para todos los usuarios de los clientes. Los secretos de producción se guardan únicamente en el almacén de entorno cifrado del proveedor de alojamiento, nunca en el código. Los tokens de integración (por ejemplo, Google Analytics) se cifran con AES-256-GCM mediante una clave guardada solo en ese almacén. Las contraseñas las almacena el proveedor de autenticación como hashes con sal, nunca nosotros.
03
En tránsito
TLS 1.2 o superior en todas las conexiones. Los formularios públicos y las rutas de la API tienen limitación de frecuencia; los formularios de inicio de sesión, de registro y de contacto están protegidos por una verificación antibots de Cloudflare allí donde está activada. Los intentos de inicio de sesión se limitan por cuenta y por dirección.
04
Proveedores de IA
Las preguntas se envían a los proveedores de IA con arreglo a sus condiciones de API para empresas. Anthropic y OpenAI no utilizan las entradas de la API para entrenar sus modelos; cuando las condiciones de un proveedor aún no se han verificado, la Política de privacidad lo indica. No permitimos que ningún proveedor entrene un modelo público con datos de clientes. Un verificador automático contrasta los borradores generados con los datos del propio cliente antes de que este los vea, y todos los borradores se marcan como generados por IA.
05
Incidentes
Notificamos a los clientes afectados en un plazo de 48 horas desde que tenemos conocimiento de una violación de la seguridad de los datos personales y colaboramos en las notificaciones que ellos deban hacer a las autoridades de control y a los interesados. Registramos los eventos de seguridad de todas las cuentas; los clientes pueden consultar su propio historial de inicios de sesión y sus sesiones activas en la pestaña Seguridad de su portal. El compromiso completo figura en el Contrato de encargo del tratamiento (DPA), apartado 5.
06
Certificaciones
Todavía no disponemos de un informe SOC 2 ni ISO 27001 propio. Nuestros proveedores de infraestructura sí; compartimos sus informes bajo acuerdo de confidencialidad previa solicitud, y el DPA establece cómo puede auditarnos un cliente.
07
Notificar una vulnerabilidad
Escriba a security@thenewmap.ai. Acusamos recibo en un plazo de 5 días hábiles. No emprenderemos acciones legales contra investigaciones de buena fe que respeten los datos de otros clientes, no degraden el servicio y no accedan a más de lo necesario para demostrar el problema. Le rogamos que nos dé un plazo razonable para corregirlo antes de publicarlo. No tenemos un programa de recompensas.
Consultas del departamento de compras o de un delegado de protección de datos: privacy@thenewmap.ai. Documentos relacionados: Política de privacidad, Contrato de encargo del tratamiento (DPA), Condiciones del servicio.
Última actualización: .