Seis pilares de seguridad
Cifrado en tránsito y en reposo
- TLS 1.3 en todas las comunicaciones entre clientes y servidores.
- Base de datos cifrada en reposo (AES-256) gestionada por Supabase.
- Archivos almacenados con cifrado del lado del servidor en Cloudflare R2.
- Tokens de sesión firmados con HMAC-SHA256; nunca expuestos al frontend.
Control de acceso y autenticación
- Autenticación basada en sesiones seguras (NextAuth.js v5).
- Contraseñas hasheadas con bcrypt (factor de trabajo ≥ 12).
- Portal del colaborador protegido con OTP de 6 dígitos vía email o WhatsApp.
- Sistema de roles y permisos granulares (RBAC) por recurso y acción.
- Multi-tenancy estricto: los datos de una organización nunca son accesibles por otra.
Infraestructura y disponibilidad
- Alojado en Vercel (edge computing) con SLA del 99.9%.
- Base de datos en Supabase con réplicas automáticas y respaldos diarios.
- Almacenamiento de archivos en Cloudflare R2 (redundancia multi-región).
- Monitoreo continuo de uptime y alertas automáticas ante incidentes.
- Mantenimientos programados anunciados con 24 h de anticipación.
Auditoría y trazabilidad
- Registro completo de acciones (Audit Log): quién hizo qué y cuándo.
- Logs de acceso inmutables con retención de 90 días.
- Notificaciones en tiempo real a administradores ante eventos críticos.
- Historial de versiones en documentos: cada versión es rastreable.
Recuperación y continuidad
- Respaldos automáticos diarios de base de datos con retención de 30 días.
- Proceso de restauración probado con objetivo de recuperación (RPO) < 24 h.
- Exportación de datos disponible en cualquier momento desde el dashboard.
- Al cancelar la suscripción, los datos se retienen 30 días para su descarga.
Dónde viven tus datos
- Base de datos: Supabase (región us-east-1, con opción de migración a México).
- Archivos: Cloudflare R2 (México / Latinoamérica).
- Procesamiento de pagos: Stripe Inc. (certificación PCI DSS Level 1).
- Email: Resend Inc. (infraestructura en EE.UU., cifrado en tránsito).
- Los datos NUNCA se comparten con terceros para fines comerciales ajenos.
Cumplimiento normativo
LFP
LFPDPPP
Ley Federal de Protección de Datos Personales en Posesión de los Particulares
NOM
NOM-151
Conservación de mensajes de datos y digitalización de documentos
LFT
LFT
Ley Federal del Trabajo — documentos requeridos por el empleador
NOM
NOM-035
Factores de riesgo psicosocial en el trabajo (STPS)
PCI
PCI DSS
Estándar de seguridad de datos para pagos (vía Stripe Level 1)
Reporte de vulnerabilidades
Si descubres una vulnerabilidad de seguridad en Veridio, te pedimos que nos lo reportes de forma responsable. No realizamos acciones legales contra investigadores de buena fe.
seguridad@veridio.co