Seguridad

La seguridad de la información de tu taller y de tus clientes es central en cómo construimos TallerPro. Esta página describe en términos claros qué medidas técnicas aplicamos y cuáles son sus límites.

Arquitectura multi-tenant

Cada taller trabaja en un espacio separado: el sistema filtra cada consulta por el taller del usuario, y lo comprobamos con pruebas de acceso cruzado entre talleres (la última, en octubre de 2026). Estamos incorporando una segunda capa de control en la propia base de datos.

Cifrado

• Tráfico en tránsito: HTTPS/TLS 1.2+ para todo el sistema. Las cookies de sesión son httpOnly, secure y SameSite=Lax.
• Datos at-rest: la base de datos PostgreSQL gestionada por Neon cifra el almacenamiento en disco con AES-256.
• Contraseñas: nunca se almacenan en texto plano. Usamos hash bcrypt con factor de costo 12.
• Secretos TOTP (2FA): se cifran con pgcrypto antes de persistirse en la base de datos.

Autenticación y control de acceso

• Inicio de sesión protegido con captcha (Cloudflare Turnstile) y rate-limiting fail-closed contra fuerza bruta.
• La administración de la plataforma usa doble factor (TOTP). El doble factor para los usuarios de los talleres está en desarrollo.
• Roles por puesto (dueño, administrador, recepción, asesor, técnico, caja, almacén, entre otros) que se validan en cada acción del servidor. Cambios de rol auditados.
• Bloqueo automático tras intentos fallidos consecutivos.

Auditoría

• Audit log inmutable: cada acción mutativa importante (crear OT, cerrar caja, editar cliente, aprobar presupuesto) queda registrada en una tabla append-only con trigger que bloquea UPDATE y DELETE a nivel base de datos.
• Registramos IP y user-agent en cada decisión crítica (aprobaciones de cliente, cambios de rol, eliminación de datos).
• Registro de auditoría de solo añadir: la base de datos impide modificar o borrar sus entradas.

Aprobaciones de cliente vía WhatsApp

• Cada link de aprobación es un token aleatorio criptográfico de 256 bits, único e irrenovable. La base de datos guarda solo el hash SHA-256, nunca el token plano.
• Vigencia limitada (72 horas por defecto). Tras la decisión, el token queda invalidado.
• Rate-limiting por IP para impedir fuerza bruta sobre el espacio de tokens.
• Decisión guardada con IP, user-agent y timestamp para trazabilidad legal de la aprobación.

Revisión de seguridad

Usamos el OWASP Top 10 como guía de revisión.

Subprocesadores e infraestructura

Operamos sobre proveedores tecnológicos auditados con prácticas de seguridad reconocidas:

• Vercel: hospedaje y mitigación de ataques de denegación de servicio (SOC 2 Type II).
• Neon: base de datos PostgreSQL gestionada (SOC 2 Type II).
• Cloudflare: DNS y verificación antirobots (Turnstile).
• Upstash: límites de uso contra abuso (rate-limiting).

Continuidad y respaldo

• Restauración a cualquier punto de los últimos 7 días, copias diarias guardadas 14 días y una semanal guardada 5 semanas.
• Aún no hemos documentado una prueba completa de restauración.

Reporte de vulnerabilidades

Si descubres una vulnerabilidad de seguridad, te pedimos reportarla de forma responsable a seguridad@tallerpro.io. Nos comprometemos a responder en 48 horas hábiles. Agradecemos la divulgación coordinada antes de hacer pública cualquier información sobre el incidente.

Notificación de incidentes

En caso de un incidente que comprometa datos personales, notificaremos a los afectados y a la Autoridad Nacional de Protección de Datos Personales (ANPD) en los plazos previstos por la Ley N° 29733 y su Reglamento.

Lo que no afirmamos

Ningún sistema en internet es 100% invulnerable. No afirmamos “seguridad bancaria absoluta” ni cumplimiento certificado de estándares que no hemos auditado formalmente. Lo que sí hacemos es aplicar prácticas de seguridad reconocidas, mejorar continuamente, y ser transparentes sobre los riesgos. Si tu taller maneja datos altamente sensibles que requieran certificaciones específicas (ISO 27001, PCI DSS), contáctanos para discutir si TallerPro encaja con esos requisitos.

Contacto

Para consultas sobre nuestra postura de seguridad: seguridad@tallerpro.io.