Seguridad

Todo el tráfico se sirve por HTTPS/TLS. La aplicación funciona en Vercel; la base de datos es PostgreSQL en Neon (serverless, región UE — eu-central-1); los archivos (voces, vídeos, logos subidos) se almacenan en Vercel Blob. Ningún dato de cliente se almacena fuera de estos proveedores.

Las contraseñas se cifran con bcrypt y nunca se almacenan ni se registran en texto plano. Hay autenticación de dos factores opcional (TOTP, con códigos de respaldo de un solo uso) disponible para cuentas con contraseña. El inicio de sesión está limitado por dirección IP y bloquea una cuenta tras varios intentos fallidos repetidos; el registro está limitado por IP. Las direcciones de correo se enmascaran en los registros de la aplicación.

Las claves API, los tokens de restablecimiento de contraseña y de verificación de correo se almacenan solo como hash SHA-256 — nunca en una forma legible, ni siquiera por nosotros. Los logos SVG subidos (marca blanca) se sanean antes de usarse para eliminar cualquier script incrustado. Eliminar tu cuenta elimina tus proyectos, el contenido generado y los archivos; una exportación de datos de autoservicio (Ajustes → Descargar mis datos) cubre la portabilidad de datos del RGPD.

Cada respuesta incluye cabeceras de seguridad: una Content-Security-Policy restrictiva, X-Frame-Options (protección contra clickjacking), nosniff, una Referrer-Policy estricta y una Permissions-Policy que desactiva por defecto el acceso a cámara/micrófono/geolocalización/pago. Cada ruta de la API exige autenticación, excepto el registro, el callback de autenticación y el webhook de Stripe (que verifica su firma en su lugar).

Los errores se capturan en producción mediante Sentry (región UE). Las cuentas Agency disponen de un registro de auditoría completo de los cambios de equipo, claves API y marca, visible en Ajustes.

Publicamos un Acuerdo de Tratamiento de Datos (DPA) junto con nuestra Política de Privacidad. Puedes exportar o eliminar tus datos en cualquier momento desde Ajustes. Nota: la entidad que publica este servicio es una empresa no perteneciente a la UE que aún no ha designado un representante formal conforme al Art. 27 del RGPD para los interesados en la UE — una carencia conocida y declarada que estamos resolviendo, no algo que intentemos ocultar.

¿Encontraste un problema de seguridad? Escribe a hello@sniplyx.com con los detalles — leemos cada mensaje y te responderemos directamente. Por favor no pruebes contra las cuentas o datos de otros usuarios; usa tu propia cuenta de prueba.