Datos, privacidad y seguridad

Toda conexión con una plataforma usa OAuth, el mismo estándar que hay detrás de «Continuar con Google». Autorizas en la pantalla del propio proveedor y CrunchJunkie recibe un token limitado y de solo lectura; nunca vemos ni guardamos la contraseña de tu plataforma, y nunca hacemos cambios en tus campañas. El acceso es revocable en cualquier momento, desde CrunchJunkie o desde el proveedor, y al revocarlo se corta de inmediato nuestra capacidad de leer esa fuente. Como la concesión es de solo lectura y se limita a las cuentas que seleccionas, el acceso que tenemos es el mínimo necesario para crear tus informes, nada más.

Los tokens OAuth que nos permiten sincronizar tus datos, y cualquier clave de proveedor de IA que aportes para Visibilidad en IA, se cifran en nuestra base de datos con AES-256-GCM a nivel de aplicación, además del cifrado de disco en reposo de nuestro proveedor de infraestructura, y solo viajan por conexiones cifradas (TLS). El mismo cifrado a nivel de aplicación protege tus tokens de inicio de sesión y, si usas autenticación de dos factores, tu secreto de 2FA. Se usan únicamente para sincronizar tus datos o ejecutar tus propios escaneos: nunca se comparten ni se usan para nada más. Por eso mismo, un cambio del lado del proveedor (un restablecimiento de contraseña, un permiso retirado) puede invalidar un token: el modelo de seguridad funciona como está previsto. Cuando eso ocurre, verás una invitación a reconectar en Requiere atención, en lugar de fallos silenciosos.

Protege tu propio inicio de sesión en Ajustes → Seguridad activando la autenticación de dos factores. Escanea el código QR con cualquier aplicación de autenticación (Google Authenticator, 1Password, Authy) y confirma el código de seis dígitos para vincularla. CrunchJunkie emite entonces códigos de recuperación de un solo uso; guárdalos en un lugar seguro, porque solo se muestran una vez y te permiten volver a entrar si pierdes tu autenticador. Con la 2FA activada, se exige un código nuevo en cada inicio de sesión, de modo que tu espacio de trabajo sigue protegido aunque tu contraseña llegue a verse comprometida. Combinada con el acceso basado en roles para los miembros del equipo, mantiene el control de tus datos en las manos adecuadas. Como protección adicional frente a los intentos de adivinar contraseñas, una cuenta se bloquea temporalmente tras varias contraseñas o códigos de dos factores incorrectos y se desbloquea automáticamente tras un breve periodo de espera, así que un intento de fuerza bruta se detiene sin que tengas que hacer nada. También cambias tu contraseña en Ajustes → Seguridad: introduce la actual y la nueva dos veces, más un código de tu autenticador si la 2FA está activada. Todos los demás dispositivos se desconectan en un minuto, el navegador que usas mantiene la sesión iniciada, y te enviamos un correo de confirmación con un enlace para restablecer la contraseña por si el cambio no lo hiciste tú. Si solo has iniciado sesión con Google, todavía no hay ninguna contraseña que cambiar: usa «¿Has olvidado la contraseña?» en la página de inicio de sesión para definir una.

Los propietarios del espacio de trabajo pueden hacer obligatoria la autenticación de dos factores para todos. Activa «Exigir autenticación de dos factores» en Ajustes → Equipo, y a cualquier miembro que no haya configurado la 2FA se le pide hacerlo antes de poder seguir usando el espacio de trabajo: nadie se cuela solo con una contraseña. Primero tendrás que tener activada tu propia 2FA, de modo que exigirla nunca pueda dejarte fuera del ajuste. Hasta que un miembro active la 2FA, CrunchJunkie permanece cerrado para él: la aplicación lo lleva a la configuración, las solicitudes a la API se rechazan, y también se rechazan los asistentes de IA conectados mediante el conector de CrunchJunkie. Configurar la 2FA, cerrar sesión y los enlaces públicos para compartir siguen funcionando. Cuando activas el requisito, los miembros sin 2FA se desconectan la próxima vez que usen la aplicación y, tras volver a iniciar sesión, se les lleva a la configuración; activar la 2FA levanta el bloqueo de inmediato. Si algún espacio de trabajo al que perteneces exige autenticación de dos factores, la necesitas para usar CrunchJunkie en todos los espacios de trabajo a los que perteneces: un solo inicio de sesión da acceso a todos ellos (el conector de IA también puede cambiar entre ellos), así que el requisito más estricto se aplica a toda la cuenta. Las claves de la API REST siguen funcionando, y solo los miembros que cumplen el requisito pueden crear nuevas. Los miembros que aún necesitan activarla reciben un recordatorio por correo hasta que lo hacen, para que no tengas que perseguir a nadie.

La facturación la gestiona de forma segura Stripe, un proveedor de pagos conforme a PCI. CrunchJunkie nunca guarda los datos completos de la tarjeta: van directamente a Stripe, y tus facturas y recibos están disponibles en Ajustes → Facturación → Facturas, con los datos de facturación de tu empresa y tu NIF-IVA aplicados. Mantener los datos de pago fuera de nuestros sistemas y en manos de un proveedor especializado es el lugar más seguro para ellos.

Tus datos siguen siendo tuyos. Exporta todo tu espacio de trabajo cuando quieras desde Ajustes → Exporta tus datos: cada cliente, proyecto, prompt monitorizado, competidor, objetivo, informe y todo tu historial de visibilidad en IA, como JSON portable más un CSV del historial de métricas. Todos los CSV que escribe CrunchJunkie se abren en Excel y Google Sheets; una celda de texto que empieza como una fórmula (con =, +, - o @) comienza con un apóstrofo para que nunca se ejecute, y los números siguen siendo números. El propietario y los administradores del espacio de trabajo pueden descargarlo; el JSON de un administrador omite la lista de miembros del equipo y la dirección de correo de cada cambio de Google Ads, que sí incluye el archivo del propietario; los propietarios y administradores descargan la lista de miembros en Ajustes → Equipo. Los miembros y los puestos de solo lectura descargan sus propios datos personales en la misma página. Los secretos (claves de API, tokens OAuth, contraseñas) nunca se incluyen. Si decides marcharte, solicita la eliminación de la cuenta en Ajustes → Espacio de trabajo. Tras la eliminación, los datos de la cuenta y del espacio de trabajo se eliminan o se anonimizan en un plazo de 30 días; los registros de facturación se conservan solo durante el tiempo que exija la ley. Revocar una integración también detiene cualquier lectura posterior de esa fuente. El principio en todo momento es sencillo: acceso de mínimo privilegio, cifrado en reposo y una salida limpia cuando quieras, sin dependencia de un formato propietario. ¿Prefieres que te echen una mano? Escribe a hello@crunchjunkie.io y una persona de verdad te ayudará.

¿Has encontrado algo que parece una vulnerabilidad de seguridad? Escribe a hello@crunchjunkie.io (o a security@crunchjunkie.io) con los detalles y los pasos para reproducirlo, y acusaremos recibo en un plazo de dos días laborables; por favor, no lo publiques. Por detrás, analizamos de forma continua nuestras dependencias y nuestro propio código y corregimos con rapidez los problemas de gravedad alta, de modo que un informe responsable llega a un equipo que actúa.