Cómo protegemos tu operación.
Acá está lo que hay implementado hoy, descrito sin adornos. Ningún proveedor puede prometer seguridad absoluta, y nosotros tampoco: por eso al final está la lista de lo que todavía no tenemos.
Aislamiento de cuentas
Cada organizador opera sobre su propio espacio. Las consultas del sistema van acotadas a la cuenta que hace la petición, y un dominio que no corresponde a ninguna cuenta no cae a la de otro: muestra un estado vacío.
Esta separación está cubierta por pruebas automáticas que se ejecutan en cada cambio, escritas para fallar si una superficie nueva olvidara el filtro.
Control de accesos
Tres perfiles con alcances distintos —dueño, gestión y oficina— y cada persona entra con su propia credencial, nunca con una compartida.
Quien atiende no ve la caja del negocio ni la configuración. Las pantallas sensibles verifican el permiso en el servidor, no solo escondiendo el enlace.
Trazabilidad
Toda acción que mueve dinero queda registrada con quién la hizo, cuándo y por qué: anulaciones, liberaciones, correcciones de pago y ajustes de inventario.
El registro es consultable desde el panel, no solo desde los registros técnicos del servidor.
Protección de credenciales
Las credenciales de cada organizador —accesos de mensajería y de sus integraciones— se guardan cifradas en la base y nunca en el código ni en variables de entorno compartidas.
Las contraseñas de acceso al panel se guardan con hash, no en texto: ni nosotros podemos leerlas.
Cifrado en tránsito
Todo el tráfico del sitio y de los paneles viaja sobre HTTPS. La base de datos cifra la información almacenada, según el estándar del proveedor de infraestructura.
No aplicamos cifrado adicional a nivel de campo sobre los datos de negocio: lo decimos para que nadie lo suponga.
Monitoreo
El sistema vigila su propio funcionamiento y levanta alertas cuando algo se detiene: si deja de responder, si deja de registrar pagos o si un número queda con dos dueños.
Cada entrega de mensaje que falla deja rastro con su causa, de modo que un fallo no pueda pasar en silencio.
Respaldos
La base de datos cuenta con los respaldos automáticos del proveedor de infraestructura.
El procedimiento de restauración todavía no está probado de extremo a extremo. Lo decimos porque un respaldo que nunca se restauró no es una garantía: es una expectativa.
Gestión de incidentes
Cuando algo se rompe, el aviso llega a nuestro equipo por las alertas del sistema y se atiende directamente con el organizador afectado.
No existe todavía un procedimiento formal de gestión de incidentes con niveles de severidad ni tiempos comprometidos.
Proveedores
Zuvel se apoya en proveedores de infraestructura, base de datos, mensajería y modelos de lenguaje para operar. La información de tu operación pasa por ellos en la medida necesaria para prestar el servicio.
El detalle de qué proveedor interviene en qué parte se entrega a solicitud, durante la incorporación.
Lo que todavía no tenemos
Si alguno de estos puntos es un requisito para tu operación, conviene saberlo antes y no después.
- No tenemos certificaciones de seguridad (ISO 27001, SOC 2 ni equivalentes).
- No hemos realizado auditorías de seguridad ni pruebas de intrusión por terceros.
- No comprometemos un nivel de servicio con tiempos garantizados de disponibilidad ni de recuperación.
- El procedimiento de restauración de respaldos no está probado de extremo a extremo.
¿Tu equipo necesita revisar algo puntual antes de decidir?