Seguridad

La seguridad es una parte esencial de cómo desarrollamos y operamos CrunchJunkie. Las medidas descritas a continuación se mantienen de forma continua y se revisan al menos una vez al año.

Todos los datos en tránsito se cifran con TLS 1.2 o superior, con HSTS aplicado. Las claves de API de IA y los tokens de acceso y de actualización de OAuth se cifran con AES-256-GCM en la capa de aplicación antes de su almacenamiento; la base de datos está además cifrada en reposo por nuestro proveedor de infraestructura. Las contraseñas se almacenan con hash bcrypt (factor de coste 12) y nunca en texto plano.

Cada consulta a la base de datos de la plataforma se limita al ID del equipo del usuario autenticado en la capa de aplicación. El acceso a datos entre inquilinos se impide por la propia arquitectura: no es posible que otra organización acceda a los datos de una organización.

El acceso a la base de datos de producción y a la infraestructura se restringe a un conjunto mínimo de personal autorizado. La autenticación multifactor (MFA) es obligatoria para todo acceso a producción. Los eventos de acceso se registran y se revisan periódicamente. Los derechos de acceso se revocan sin demora ante cambios de personal.

Los puntos de acceso de autenticación y las rutas sensibles de la API tienen un límite de frecuencia por IP para protegerse frente a ataques de relleno de credenciales y de fuerza bruta. Desde septiembre de 2026, los contadores se guardan en un almacén compartido en la UE (Fráncfort), por lo que el límite se aplica a todas las instancias de la aplicación; los contadores caducan en pocos minutos. La protección CSRF se aplica en todas las operaciones que modifican el estado.

La capacidad de cómputo y el almacenamiento de archivos de la plataforma se ejecutan en Vercel en la UE (Fráncfort); la base de datos se ejecuta en el servicio gestionado de PostgreSQL de Neon, también en la UE (Fráncfort). Ambos proveedores mantienen sus propias certificaciones de seguridad y DPA.

Mantenemos un proceso documentado de respuesta a incidentes. En caso de una violación de la seguridad de los datos personales que afecte a datos de clientes, notificaremos a los clientes afectados en un plazo de 72 horas desde su descubrimiento, como exige el art. 33 del RGPD.

Si descubre una vulnerabilidad de seguridad, le rogamos que la comunique de forma responsable a hello@crunchjunkie.io con el asunto «Security Report». Nos comprometemos a: • Acusar recibo de su comunicación en un plazo de 48 horas. • Procurar resolver las vulnerabilidades críticas en un plazo de 72 horas. • Mantenerle informado de nuestros avances. Le rogamos que no divulgue públicamente el problema hasta que hayamos tenido una oportunidad razonable de solucionarlo. Actualmente no operamos un programa de recompensas por errores (bug bounty), pero agradecemos profundamente las divulgaciones responsables.