Política de Seguridad

Tratamos la seguridad como un requisito de producto y describimos solo controles implementados o requeridos operativamente por el servicio actual.

• ›Las rutas sensibles se ejecutan del lado del servidor en la aplicación Next.js
• ›Las rutas protegidas de panel y administración requieren sesiones autenticadas
• ›La funcionalidad administrativa se limita a correos configurados como administradores

Los controles actuales del código incluyen:

• ›Google OAuth con NextAuth, sesiones JWT y duración de sesión de 8 horas
• ›Reclamaciones mínimas de sesión; los tokens OAuth no se exponen a la sesión del navegador
• ›Validación Zod para cargas de contacto, panel, presupuesto, estado e IA
• ›Limitación de solicitudes con Upstash para rutas públicas y autenticadas de escritura
• ›Validación de host, CSP, bloqueo de frames, protección de tipo de contenido, política de referencia y permissions policy
• ›APIs de consulta Prisma en lugar de construcción SQL ad hoc

Protegemos los datos mediante control de acceso, controles de seguridad de proveedores, transporte cifrado y acceso operativo restringido.

• ›Las credenciales de base de datos de producción se guardan en variables de entorno
• ›Los secretos SMTP, IA, Redis y OAuth son solo del servidor
• ›Los datos bancarios públicos están separados de secretos y pueden configurarse por entorno

El panel incluye una ruta de eliminación de cuenta para usuarios autenticados. Elimina datos de solicitudes de proyecto y presupuestos asociados al correo autenticado.

• ›La eliminación requiere una sesión autenticada activa
• ›La interfaz exige confirmación escrita antes de eliminar
• ›Después de eliminar, el usuario cierra sesión

Las cuentas OAuth externas siguen gestionadas por el proveedor OAuth.

Si identificamos una brecha de datos personales o incidente de seguridad, investigamos, contenemos, documentamos y notificamos a las partes o autoridades cuando lo exija la ley aplicable.

• ›La notificación a la autoridad RGPD se evalúa bajo el requisito de 72 horas cuando aplica
• ›La notificación al usuario depende del riesgo, requisitos legales y datos de contacto disponibles

Informa vulnerabilidades sospechadas a info@swarpfoundation.com con detalle suficiente para reproducir y validar el problema.

• ›No accedas, modifiques, destruyas ni extraigas datos que no sean tuyos
• ›No realices ataques de denegación de servicio, spam, ingeniería social ni ataques físicos
• ›Danos un tiempo razonable para investigar antes de divulgar públicamente

No afirmamos certificación ISO 27001, auditorías de terceros completadas ni certificación formal de pruebas de penetración salvo publicación separada. Las afirmaciones de seguridad deben vincularse a controles implementados y garantías documentadas de proveedores.