Volver al inicio

Seguridad y cumplimiento normativo

Arquitectura, residencia de datos y controles de seguridad que adoptamos para proteger tus contenidos, las voces clonadas y los datos de pago.

HTTPS/TLS en tránsito
Cifrado de datos en reposo según las medidas de los proveedores de infraestructura
Infraestructura en la nube gestionada
Registros de auditoría de seguridad

Residencia de datos e infraestructura

  • Database Supabase Postgres, según la configuración del proyecto y las medidas técnicas y organizativas del proveedor.
  • CDN Cloudflare. El tráfico se sirve mediante HTTPS; las posibles protecciones de red dependen de la configuración del servicio.
  • Backend API Railway, según la configuración del servicio.
  • Object storage (R2) Cloudflare R2, según la configuración del servicio y las medidas de seguridad del proveedor.
  • Pagos Stripe — PCI-DSS Level 1. Ningún número de tarjeta transita por nuestros sistemas ni se almacena en ellos.

Identidad y autenticación

  • Contraseñas con hash bcrypt (factor de coste 12).
  • OTP de 6 dígitos por correo electrónico para el registro y el restablecimiento de contraseña.
  • Token de sesión httpOnly + Secure + SameSite=None (necesario para el uso entre orígenes de la aplicación y la API).
  • Acceso con Google; para el nivel Enterprise hay disponible una configuración de SSO SAML 2.0.

Protección de datos biométricos (voz)

  • La muestra de voz en bruto es un dato personal. Las características vocales procesadas y el modelo de voz derivado también son datos personales y pueden constituir datos biométricos en el sentido del art. 9 GDPR cuando derivan de un tratamiento técnico específico dirigido a identificar de forma unívoca a una persona (identificación/autenticación por voz). La clonación/síntesis de voz que ofrecemos no tiene como finalidad identificarte de forma unívoca, pero aplicamos igualmente, con carácter preventivo, las mismas garantías previstas para los datos biométricos — véase Biometric Data Policy.
  • Consentimiento electrónico registrado (texto, versión, IP, fecha y hora).
  • Cross-language gate — la síntesis se bloquea en cualquier idioma no autorizado explícitamente por el usuario en el momento del registro de la voz. Los intentos no autorizados generan un safety_event de tipo consent_violation.
  • Destrucción anticipada cuando la finalidad deja de existir, en caso de revocación del consentimiento o de eliminación del perfil; límite máximo interno actual de 1095 días desde el consentimiento (véase Biometric Data Policy). Revocación y eliminación a petición.

Registros de auditoría de seguridad

  • Los eventos de seguridad seleccionados (p. ej., accesos, gestión de la cuenta, accesos SSO y acciones administrativas) se registran en la tabla audit_events con IP, user-agent y marca de tiempo UTC.
  • Exportación CSV disponible desde el panel de administración (rol admin).
  • La propia exportación se audita (acción admin.audit_exported).

Monitorización y respuesta a incidentes

  • Los registros de aplicaciones e infraestructura se gestionan mediante los servicios de los proveedores de alojamiento.
  • Webhooks de Stripe firmados (HMAC SHA-256) — se rechazan las cargas útiles sin firma.
  • En caso de violación de datos personales que suponga un riesgo para los derechos y libertades de las personas, se notifica a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a tener conocimiento de la violación; se informa a las personas afectadas en los casos previstos (GDPR arts. 33-34).

Situación de cumplimiento normativo

GDPR (UE 2016/679)
En proceso de alineación
CCPA / CPRA (California)
En proceso de alineación
BIPA (Illinois — biometric)
En proceso de alineación
DMCA (US Title 17)
Procedimiento por correo electrónico — en consolidación

Contactos de seguridad

Incidentes de seguridad: security@fynqcast.com

Privacidad: privacy@fynqcast.com

DMCA: dmca@fynqcast.com