Política de Seguridad — EasyGastos

Preparado inicialmente con asistencia de IA a partir de las medidas de seguridad efectivamente implementadas en la plataforma a agosto de 2026, verificadas contra el código fuente. Revisado por un abogado chileno el 7 de septiembre de 2026, sin observaciones. No describimos aquí ningún detalle técnico explotable — solo el compromiso y la naturaleza general de cada medida.

Última actualización: 7 de septiembre de 2026 Versión: 1.0

1. Nuestro compromiso

La seguridad de los datos que la Empresa Cliente y sus empleados nos confían es una prioridad continua, no un estado que se alcanza una vez. Perfeccionamos la plataforma de forma permanente — en experiencia de uso y en robustez de código — y cada incidente real que detectamos (interno o reportado) se trata como una señal de dónde seguir invirtiendo.

2. Medidas técnicas

• Cifrado en tránsito: todo el tráfico hacia y desde la plataforma viaja cifrado mediante HTTPS/TLS.
• Aislamiento entre empresas (multi-tenant): los datos de cada Empresa Cliente están lógicamente separados de los de las demás a nivel de base de datos; ningún Usuario puede acceder a datos de una empresa distinta a la suya.
• Autenticación: el inicio de sesión se gestiona mediante un proveedor de autenticación especializado (Supabase Auth); las contraseñas nunca se almacenan por nosotros en texto plano.
• Enlaces de invitación y recuperación de contraseña protegidos: estos enlaces están diseñados para no poder ser consumidos accidentalmente por escáneres automáticos de seguridad de correo corporativo (una vulnerabilidad real que detectamos y corregimos) — solo se activan ante un clic explícito y consciente de la persona.
• Protección de endpoints administrativos sensibles: las rutas de administración de la plataforma están protegidas con controles adicionales, incluyendo bloqueo temporal tras intentos fallidos repetidos desde una misma dirección IP.
• Monitoreo de errores en producción: contamos con monitoreo activo de errores de la aplicación, lo que nos permite detectar y responder a problemas técnicos rápidamente.
• Ambiente de pruebas separado: los cambios a la plataforma se prueban primero en un ambiente separado de producción, con datos de prueba, antes de aplicarse a los datos reales de las Empresas Clientes.

3. Medidas organizacionales

• Acceso basado en roles: cada persona que usa la plataforma (empleado, supervisor, contabilidad, administrador de empresa) solo tiene acceso a las funciones y datos que su rol requiere.
• Principio de menor privilegio interno: el acceso administrativo total a la plataforma (fuera de una Empresa Cliente específica) está restringido a nuestro equipo y protegido con credenciales separadas.
• Revisión antes de producción: los cambios a la plataforma pasan por revisión y verificación antes de aplicarse al ambiente productivo.

4. Responsabilidad compartida

La seguridad efectiva depende también de la Empresa Cliente y sus Usuarios:

• La Empresa Cliente es responsable de desactivar oportunamente el acceso de empleados que dejen la organización.
• Cada Usuario es responsable de mantener en secreto su contraseña y de no compartir su sesión iniciada con terceros.
• Recomendamos a la Empresa Cliente revisar periódicamente qué personas tienen acceso a su cuenta y con qué roles.

5. Proveedores de infraestructura

Nuestra infraestructura depende de proveedores especializados que mantienen sus propios estándares de seguridad: Supabase (base de datos y almacenamiento), Vercel (alojamiento), Resend (envío de correo) y Sentry (monitoreo). El detalle de qué datos procesa cada uno está en la Política de Privacidad.

6. Gestión de incidentes

Ante un incidente de seguridad que afecte datos personales, nuestro compromiso es investigarlo, contenerlo, y notificar a las Empresas Clientes afectadas dentro de un plazo razonable — nos guiamos por el estándar de 72 horas desde que tomamos conocimiento del incidente, que exigirá la futura Ley 21.719, aunque todavía no esté vigente.

(La Ley 21.663, Ley Marco de Ciberseguridad, no aplica directamente a EasyGastos — está dirigida a Operadores de Importancia Vital y Prestadores de Servicios Esenciales designados por la ANCI, no a un proveedor SaaS de este tamaño. Puede volverse relevante indirectamente si una Empresa Cliente sí calificara como tal y exigiera cláusulas de ciberseguridad específicas por contrato — a evaluar caso a caso.)

7. Reporte responsable de vulnerabilidades

Si usted detecta una posible vulnerabilidad de seguridad en la plataforma, le pedimos reportarla de forma responsable a hola@inveniam.cl, sin explotarla ni divulgarla públicamente antes de darnos la oportunidad de corregirla. Agradecemos y valoramos estos reportes.

8. Cambios a esta política

Podemos actualizar esta política a medida que evolucionan nuestras medidas de seguridad.

Documentos relacionados: Términos de Uso · Política de Privacidad · Consentimiento para correos electrónicos · Política de baja del Servicio