Cómo tratamos tus datos
Esta página explica, sin rodeos, qué guardamos, dónde, quién puede verlo y qué medidas tenemos. Está escrita para que puedas enseñársela a tu departamento de IT o de compras.
Última actualización: julio de 2026.
Qué guardamos y qué no
| Dato | ¿Lo guardamos? | Dónde y para qué |
|---|---|---|
| Tu email y nombre | Sí | Para identificar tu cuenta. |
| Tu contraseña | No | Solo guardamos un hash (PBKDF2-SHA256, 100.000 iteraciones, con sal única). No podemos leer tu contraseña ni recuperártela: solo restablecerla. |
| Respuestas del cuestionario y perfil | Sí | Para que puedas dejarlo a medias y continuar en otro dispositivo. |
| Resultados (%, alcances, fecha) | Sí | Para enseñarte tu evolución respecto a diagnósticos anteriores. |
| Facturas y documentos | No | La herramienta no te pide subir ningún documento. Te dice dónde buscar el dato; los papeles se quedan en tu empresa. |
| Datos de tarjeta o pago | No | La aplicación no procesa pagos ni los almacena. |
Dónde están
- La aplicación y los datos se alojan en la red de Cloudflare (Cloudflare Pages y Cloudflare KV).
- Todo el tráfico va cifrado con HTTPS/TLS, forzado además con HSTS.
- La evaluación de tus respuestas en texto libre y el asistente usan la API de Anthropic (Claude). Se envía la pregunta y tu respuesta; no se envía tu email ni tus datos de cuenta.
Quién puede acceder
- Cada usuario solo ve lo suyo: todas las llamadas a la API comprueban una sesión firmada (HMAC-SHA256) que caduca a las 8 horas.
- Existe un panel interno de administración, protegido por una clave independiente, que usamos para dar de alta clientes y ver el número de diagnósticos.
- Los secretos (claves de API y de firma) viven cifrados como secrets en Cloudflare. No están en el código ni en el repositorio.
Medidas que tenemos
- Contraseñas: nunca en claro. PBKDF2-SHA256 con 100.000 iteraciones y sal aleatoria por usuario.
- Sesiones: tokens firmados con caducidad de 8 horas.
- Fuerza bruta: límite de intentos de acceso por dirección IP y por cuenta. El panel de administración también está limitado.
- Enumeración de usuarios: el login responde lo mismo exista o no la cuenta.
- Cabeceras del navegador: Content-Security-Policy, HSTS, X-Frame-Options (no se puede incrustar la app en otra web), nosniff y Referrer-Policy.
- Caché: las respuestas de la API se sirven con
no-store. - Endpoints de IA: solo responden a usuarios con sesión válida.
Lo que todavía NO tenemos
Preferimos decirlo a que lo descubras en un pliego: no estamos certificados en ISO 27001 ni en SOC 2, y no tenemos autenticación federada (SSO/SAML) ni registro de auditoría de accesos. Son certificaciones y funciones que requieren una auditoría externa y trabajo específico. Si tu organización los necesita, dínoslo y lo hablamos con franqueza.
Tus derechos (RGPD)
- Acceso y portabilidad: puedes pedirnos todo lo que tenemos de tu cuenta.
- Supresión: al borrar una cuenta se eliminan todos sus datos: cuenta, contador de uso, diagnóstico a medias e historial. El borrado es inmediato y no reversible.
- Rectificación: puedes pedir que corrijamos tu nombre, email o empresa.
- Conservación: mantenemos tus datos mientras tengas la cuenta activa. Si la cierras, se borran.
Contacto
Para cualquier asunto de privacidad o seguridad, o si detectas una vulnerabilidad, escríbenos a eduardo.fong@mobilityforwork.es. Si nos reportas un fallo de seguridad de buena fe, te responderemos y no emprenderemos acciones contra ti.
Este diagnóstico es orientativo y no sustituye a una auditoría ni a una verificación acreditada.