Skyfense está en el camino de las peticiones de tiendas activas, así que proteger los datos que manejamos es esencial para el producto. Esta página describe las medidas técnicas y organizativas que hay hoy, y es honesta sobre lo que aún estamos reforzando.
1. Medidas que hay hoy
2. Aislamiento de espacios de trabajo y comerciantes
Cada registro pertenece al espacio de trabajo de un comerciante, y el acceso al panel y a la API se limita al espacio de trabajo del usuario autenticado. El aislamiento se aplica por igual a visitas, pedidos, dispositivos y análisis detallados.
3. Controles de acceso
El acceso a la base de datos de producción está restringido a nivel de red con un cortafuegos de lista permitida, y el acceso administrativo a los servidores se limita a operadores autorizados. Los secretos de despliegue se guardan en una caja fuerte cifrada y no en configuración en texto plano. Dentro de un espacio de trabajo, Skyfense aún no ofrece roles de usuario distintos; todos los usuarios invitados tienen el mismo acceso. El control de acceso por roles está en nuestra hoja de ruta.
4. Registros y monitorización
Los cambios administrativos en un espacio de trabajo se guardan en un registro de auditoría (usuario, resumen e IP de la petición), y los servicios generan registros operativos. Los registros de auditoría están pensados para no contener contraseñas ni datos de pago. Estamos formalizando una monitorización de seguridad centralizada con alertas.
5. Conservación y borrado de datos
Las visitas, eventos de sesión, dispositivos, huellas y pedidos se borran automáticamente cuando supera el plazo de conservación que configura el comerciante (30, 90, 180, 365 o 730 días; 365 por defecto). La desinstalación de una tienda y las solicitudes de borrado de datos de la tienda provocan el borrado de los datos de ese comerciante, incluidos los usuarios de la cuenta y el token de acceso de Shopify guardado. Consulta nuestra política de privacidad para más detalle.
6. Gestión de vulnerabilidades e incidentes
Mantenemos las dependencias al día y aplicamos las actualizaciones de seguridad como parte del mantenimiento habitual. Estamos formalizando nuestros procesos de gestión de vulnerabilidades y respuesta a incidentes, con niveles de gravedad documentados y plazos para avisar a los comerciantes. Si un incidente afecta a datos de comerciantes, avisaremos a los afectados sin demora indebida.
7. Lo que estamos reforzando
Creemos que lo que publicamos sobre seguridad debe ser exacto, así que decimos claramente lo que aún no está. Lo siguiente está en curso y aún no implementado como se pueda describir en otros sitios: cifrado de los datos en reposo a nivel de almacenamiento, copias de seguridad externas cifradas con restauración probada, control de acceso por roles en los espacios de trabajo y auditorías formales de terceros. No tenemos certificaciones como SOC 2 o ISO 27001, y no lo afirmamos.
8. Informar de una vulnerabilidad
Si crees que has encontrado una vulnerabilidad de seguridad en Skyfense, infórmanos en hello@skyfense.com. Apoyamos la divulgación responsable y trabajaremos contigo para investigar y resolver los informes válidos.