Seguridad y manejo de datos

Qué hacemos hoy para proteger la información fiscal de su plataforma y de sus vendedores. Describimos solo controles que ya están en el producto; no tenemos certificaciones (SOC 2, ISO 27001) y no lo afirmamos.

Credenciales y llaves

• Las llaves de API de Stripe y Facturapi se guardan cifradas con AES-256-GCM y puede borrarlas en cualquier momento.
• Los CFDI se timbran desde su propia cuenta de Facturapi: su CSD (e.firma de sellos) no transita por nuestros servidores.
• Las contraseñas de usuario se guardan como hash PBKDF2-SHA256 con sal, nunca en texto plano.

Acceso a la aplicación

• Sesiones con cookies HttpOnly y Secure; los formularios rechazan solicitudes de otro origen.
• Límite de intentos fallidos de inicio de sesión por correo y por IP.
• El acceso del SAT (art. 30-B CFF / regla 2.9.21) es de solo lectura, con sesión separada de 8 horas y bitácora de cada consulta.
• El portal del vendedor solo muestra los datos de ese vendedor.

Integridad y conservación

• Bitácora diaria inmutable con hash encadenado: un cambio posterior a un día cerrado se detecta.
• Conservamos las operaciones cinco años (regla 2.9.21 RMF; art. 30 CFF). Al cancelar puede exportar todo en CSV.
• Los ajustes de pagos en Stripe (neteo o reverso) solo ocurren si usted los activa; por defecto todo es simulación.

Proveedores que tratan datos

• Cloudflare: infraestructura (aplicación y base de datos).
• Stripe: cobro de la suscripción y, si la conecta, lectura de sus pagos de Connect.
• Facturapi: timbrado, solo si usted conecta su llave.
• SAT: solo cuando la plataforma habilita el acceso que exige la ley. No vendemos datos.

Reportar un problema de seguridad

Escriba a hello@acrogenesis.com o use el formulario de contacto. Más detalle en el aviso de privacidad y los términos.