Seguridad de Eventyno

Nos tomamos en serio la seguridad de sus eventos, fotos e información personal. Esta página explica en lenguaje sencillo cómo la protegemos y cómo informarnos de un problema. Ningún servicio en línea es perfectamente seguro. Trabajamos para reducir los riesgos, pero no podemos prometer que la información nunca será objeto de acceso, alteración, pérdida o divulgación.

Cómo protegemos la información

• Conexiones cifradas. Eventyno se sirve mediante HTTPS, y las conexiones con nuestra base de datos, almacenamiento y proveedores de pago están cifradas en tránsito.
• Reglas de acceso en la base de datos. Los datos residen en una base de datos administrada con reglas de acceso a nivel de fila, de modo que la aplicación solo puede leer o modificar los registros que una persona determinada está autorizada a ver. Nosotros nunca almacenamos las contraseñas en forma legible; nuestro proveedor de autenticación almacena un hash unidireccional.
• Protecciones del navegador. Las páginas se sirven con una Política de Seguridad de Contenido (Content Security Policy) que limita qué scripts, marcos y conexiones puede usar una página, y con HSTS, protecciones contra el clickjacking y contra la manipulación del tipo de contenido, y una política de referencia restrictiva. Se rechazan las solicitudes que modifican el estado y que provienen de otros sitios web.
• «Sin listar» significa sin listar. Los eventos «Cualquiera con el enlace» usan direcciones largas y aleatorias y no pueden listarse ni buscarse a través de nuestras interfaces públicas. Quién sigue a quién es visible únicamente para las personas involucradas.
• Las cuentas necesitan un registro de aceptación. La propia base de datos se niega a permitir que una cuenta sin aceptación registrada de los Términos o de la Política de Privacidad, o sin edad conocida, cree o modifique contenido, incluso si alguien llama directamente a nuestra API pública.
• Las claves de mapas permanecen en el servidor. Las solicitudes de mapas y de lugares pasan por los servidores de Eventyno, de modo que la clave del proveedor de mapas nunca se envía a su navegador.
• Contenido multimedia privado con enlaces de corta duración. Las fotos y los videos se almacenan en almacenamiento privado y se entregan mediante enlaces firmados que caducan.
• Los datos de pago permanecen en Stripe. Eventyno nunca recibe ni almacena el número completo de su tarjeta.
• Límites de frecuencia y controles contra el abuso en el inicio de sesión, las confirmaciones de asistencia, los reportes y otras acciones públicas.
• Separación de funciones. Las herramientas administrativas están separadas del producto para consumidores y solo están disponibles para el personal autorizado. Las credenciales con privilegios se mantienen en el servidor y nunca se envían a su navegador.
• Minimización de datos. Recopilamos solo lo que el producto necesita y eliminamos los metadatos de ubicación de las fotos cargadas.
• Supervisión y actualizaciones. Revisamos los registros en busca de abusos y problemas de seguridad y mantenemos actualizados nuestro software y sus dependencias.

Lo que usted puede hacer

Use una contraseña segura y única y mantenga segura su cuenta de correo electrónico, porque allí llegan los restablecimientos de contraseña. Cierre sesión en los dispositivos compartidos. Tenga cuidado con lo que hace «Público» y recuerde que los eventos «Cualquiera con el enlace» no están listados pero no están protegidos con contraseña. No incluya información personal sensible en las páginas de eventos ni en los formularios de confirmación de asistencia.

Cómo reportar una vulnerabilidad

Si cree haber encontrado una vulnerabilidad de seguridad en Eventyno, escriba a support@eventyno.com con el detalle suficiente para reproducirla. Le pedimos que nos dé un tiempo razonable para corregirla antes de hacerla pública, que no acceda a los datos de otras personas ni los modifique, que no degrade el Servicio y que no realice pruebas con cuentas de usuarios reales. Revisaremos los reportes de buena fe. Actualmente no operamos un programa de recompensas por errores (bug bounty) remunerado.

Si algo sale mal

Si un incidente de seguridad afecta su información personal, investigaremos, adoptaremos medidas para contenerlo y notificaremos a las personas afectadas y a las autoridades según lo exija la ley.

Documentos relacionados

Política de Privacidad · Términos de Servicio · Seguridad y denuncias