Seguridad en Espobase

• Espobase no tiene la certificación SOC 2 ni cumple con HIPAA. No firmamos acuerdos de socio comercial (BAA).
• No guardes información de salud protegida por HIPAA, números de tarjetas de pago ni otros datos que requieran un proveedor certificado: nuestros Términos no lo permiten.

• Todo el tráfico hacia el sitio web, el panel y las APIs usa HTTPS.
• Las copias de seguridad se cifran (AES-256-GCM) antes de salir de nuestro servidor.
• Las contraseñas de las bases de datos, las claves de firma y otros secretos se guardan cifrados (AES-256-GCM).

• Las contraseñas se guardan solo como hashes irreversibles (Argon2id), tanto la de tu cuenta de Espobase como las de los usuarios de tu app.
• Las claves de API y los tokens de acceso se guardan solo como hashes con clave y se muestran una sola vez, al crearlos.
• Las claves de API secretas se rechazan cuando llegan desde un navegador, para que no se filtren por error a través del front end.

• La seguridad a nivel de fila está activada por defecto en cada tabla nueva: nada se puede leer con una clave publicable hasta que agregues una regla.
• Cada proyecto tiene su propia base de datos, aislada de los demás proyectos.
• Las reglas de seguridad se muestran como SQL para que las revises antes de aplicarlas, y los cambios que propone la IA nunca se aplican sin tu aprobación.

• La base de datos de cada proyecto se respalda a diario. Una copia solo cuenta cuando se ha vuelto a descargar, descifrar y verificar.
• Las copias se conservan 1 día (Free), 7 días (Pro) o 14 días (Group) y están bloqueadas contra el borrado durante 7 días.

• Verificación de correo, restablecimiento de contraseña e inicio de sesión con GitHub, Google o Apple.
• Roles para los miembros de la organización (propietario, administrador, desarrollador, lector) y acceso solo a proyectos seleccionados.
• Inicio de sesión único (SSO) y un registro de auditoría de las acciones sensibles en el plan Group.
• Los tokens de acceso personal se limitan a los permisos que eliges y siempre caducan.

• El sitio web, el panel y las APIs se comprueban desde fuera cada 5 minutos: consulta la página de estado en vivo.
• Solo el punto de entrada web es accesible desde internet: las bases de datos y los servicios internos nunca se exponen.
• Recibimos una alerta automática cuando un servicio se cae.

Las bases de datos de los proyectos y las APIs funcionan en Estados Unidos (Boston). Los archivos subidos y las copias de seguridad se guardan en Cloudflare R2, en Norteamérica. Los detalles están en nuestra política de privacidad.

Si crees que encontraste una vulnerabilidad, escribe a support@espobase.com con los detalles y los pasos para reproducirla. Por favor, no accedas a datos de otras personas ni interrumpas el servicio mientras pruebas. Te responderemos y te mantendremos al tanto hasta que esté resuelta.