Hecho para que se le confíen los datos de propiedades y residentes

Dónde viven sus datos

Aplicación

Corre en Vercel. Cada solicitud lleva una Política de Seguridad de Contenido por solicitud con un nonce, y HTTPS se exige con HSTS.

Base de datos

PostgreSQL alojado por Supabase en AWS en Estados Unidos (us-west-2). Cada tabla del espacio de trabajo está protegida por seguridad a nivel de fila ligada a su espacio de trabajo, verificada por la propia base de datos en cada consulta — no solo por la aplicación.

Fotos, video y documentos

Guardados en depósitos privados. Nada se sirve desde una URL pública: cada imagen de un informe o de una página para compartir es un enlace firmado que vence.

Copias de seguridad

Diseñado para copiar la base de datos completa y cada archivo almacenado a un segundo proveedor cada noche, separado del anfitrión principal, y vigilado en lugar de dado por hecho: la revisión de diez minutos genera una alerta cuando la copia de una noche no llegó. Las copias de seguridad caducan a los 35 días. La fecha de la última copia completada está en /status, incluso cuando va atrasada.

Pagos

Los maneja Stripe. Los números de tarjeta nunca tocan Sitesui.

Correo y mensajes de texto

Se envían mediante Resend y Twilio. Los textos a proveedores requieren doble consentimiento y se detienen con STOP. Los textos están en pausa mientras nuestro número de mensajes termina la verificación del operador; hasta que regresen, el trabajo va por correo con un enlace desde el que el proveedor responde.

Todos los demás

Cada otra empresa que pueda tocar sus datos se nombra en /legal/subprocessors (en inglés), con lo que hace, qué datos personales puede ver y dónde procesa.

Quién puede ver qué

• Su equipo. Los propietarios y administradores manejan el espacio de trabajo, la facturación y la lista; los miembros inspeccionan y editan. Solo los propietarios y administradores pueden borrar registros o reabrir un informe completado.
• Personas externas que usted invita. Un residente, proveedor, cliente o firmante abre un solo enlace que muestra un registro y nada más. Los enlaces vencen y usted los puede revocar en cualquier momento. Cada acción a través de un enlace queda registrada a nombre de esa persona.
• El personal de Sitesui. El acceso a la plataforma se limita a administradores con nombre, y las acciones de soporte en el espacio de trabajo de un cliente se escriben en el mismo registro de auditoría que usted puede leer.
• Los campos de facturación y de plan no los puede cambiar un cliente por la API, ni siquiera con una sesión válida: los disparadores de la base de datos rechazan la escritura.
• Las verificaciones entre espacios de trabajo corren en integración continua en cada cambio de esquema: se afirma que un miembro de un espacio de trabajo no puede leer, cambiar ni mover ninguna fila de otro.

Para compras

Tres páginas, escritas para reenviarse a una junta o a un revisor de TI sin una llamada previa. El cuestionario de seguridad estándar está respondido y publicado; el Anexo de Procesamiento de Datos es parte de los Términos para cada cliente, y una copia firmada está a dos días hábiles; la lista de subprocesadores nombra a cada empresa que puede tocar sus datos, lo que ve y dónde. Estos tres documentos están en inglés.

Reportar una vulnerabilidad

Si cree que encontró un problema de seguridad, escríbanos directamente; una persona lo lee y lo responde primero. Incluya los pasos para reproducirlo; le pedimos que no acceda a los datos de otros clientes mientras prueba.