Confianza, seguridad y tus datos

Última actualización: 20 de julio de 2026

Esta página describe, sin relleno de marketing, las medidas técnicas y organizativas que ya están activas hoy en AppManager y en cómo operamos — no una lista de aspiraciones. Si algo no está implementado todavía, no aparece acá.

1. Cifrado y cabeceras de seguridad

Todo el tráfico hacia apph.app va cifrado por HTTPS, con HSTS activo para forzar siempre la conexión segura. El sitio envía cabeceras que bloquean vectores de ataque comunes: protección contra clickjacking, bloqueo de sniffing de tipo de contenido, política de referrer restrictiva, y una política de permisos que deniega por defecto el acceso a cámara, micrófono y geolocalización.

2. Contraseñas y control de acceso

Ninguna contraseña se guarda en texto plano: se derivan con scrypt y una sal aleatoria distinta por cuenta, y se comparan con un algoritmo de tiempo constante para no filtrar información por temporización. El acceso a AppManager es por invitación, con roles diferenciados (administrador / miembro del equipo), y una cuenta puede suspenderse al instante si hace falta.

3. Todo queda registrado

Las acciones relevantes de la plataforma — documentos emitidos, cambios de datos, envíos — quedan en un registro de auditoría interno. No es una promesa: es la misma tabla que usamos nosotros para verificar cada cambio antes de darlo por hecho, y que alimenta las métricas reales del panel de administración.

4. Límites de uso en endpoints públicos

Los formularios y widgets de autoservicio expuestos públicamente (reservas, contacto, seguimiento de solicitudes) tienen límite de solicitudes por IP para frenar abuso automatizado, además de validar y filtrar los campos que aceptan antes de tocar cualquier dato real.

5. La IA nunca actúa sola hacia afuera

Cuando un agente de IA prepara una acción que sale de tu organización hacia un tercero — por ejemplo, contactar una empresa nueva en el módulo de prospección — el agente arma la ficha, la calificación y la propuesta, pero ningún envío real sale sin que una persona lo revise y lo apruebe de forma individual. Esta regla no es un período de prueba "hasta ganar confianza": es la política vigente, y cambiarla requeriría una decisión explícita tuya, no una automatización silenciosa.

6. De dónde salen los datos que usamos

Para descubrir y precalificar empresas en prospección B2B usamos exclusivamente la API pública oficial del gobierno francés (recherche-entreprises.api.gouv.fr / data.gouv.fr). Nunca hacemos scraping de directorios privados sin base legal para justificarlo.

7. RGPD en la práctica, no solo en el papel

• Cada tratamiento de datos personales tiene una base legal declarada, no genérica.
• Los datos de analítica de visitas se purgan automáticamente después de 13 meses — el techo fijado por la CNIL, no un límite arbitrario.
• Las comunicaciones comerciales incluyen una vía real de baja/opt-out, aplicada en el propio flujo, no solo mencionada en un texto legal.

8. Tus datos siguen siendo tuyos

Salvo pacto distinto por escrito, conservás la titularidad de tus datos, tus contenidos y el producto final que te entregamos. Nosotros conservamos la titularidad de las herramientas, componentes reutilizables y del know-how usado para construirlo — no de tu información. Más detalle en nuestros términos de servicio y en nuestra política de privacidad y cookies.