Seguridad y confidencialidad

Maera maneja documentos que definen la identidad legal y financiera de nuestros clientes: pasaportes, actas constitutivas, EIN, contratos y estados de cuenta. Tratamos cada archivo con el mismo criterio con el que trataríamos el nuestro: acceso mínimo, cifrado por defecto y trazabilidad de cada acción.

Los documentos sensibles del Vault se cifran con AES-256-GCM. La clave se deriva de la frase de acceso del cliente con Argon2id y nunca sale del navegador en forma reutilizable: las claves criptográficas se generan como no extraíbles. En tránsito, todo el tráfico usa TLS 1.2+. En reposo, la base de datos y el almacenamiento de archivos están cifrados por el proveedor de infraestructura.

Cada registro está protegido a nivel de base de datos con Row Level Security: la consulta de un cliente sólo puede devolver filas que le pertenecen, incluso si la aplicación tuviera un error. Los portales de socios (partners) operan en un plano de datos separado y sólo ven a los clientes que ellos mismos gestionan.

No publicamos URLs permanentes de documentos. Cada visualización o descarga genera un enlace firmado de corta duración, ligado al usuario que lo solicitó y que expira automáticamente.

El acceso interno es por rol y por necesidad operativa. Un miembro del equipo sólo ve la información necesaria para completar el servicio contratado. Las acciones administrativas quedan registradas con usuario, fecha y hora.

Inicio de sesión con correo y contraseña o proveedor social, contraseñas almacenadas con hash, sesiones con expiración y cierre de sesión en todos los dispositivos disponible desde el perfil. Recomendamos activar la verificación en el proveedor de correo asociado.

Ejecutamos escaneos automatizados de seguridad y de dependencias sobre la plataforma de forma continua y revisamos los hallazgos antes de cada despliegue relevante. Si detectamos un incidente que afecte datos personales, notificaremos a los clientes afectados por correo con lo que sabemos, el impacto estimado y las acciones tomadas.

Conservamos los documentos mientras exista la relación de servicio y durante el período requerido por obligaciones fiscales y de registro. El cliente puede solicitar la eliminación de su cuenta y sus archivos escribiendo a support@maera.com; procesamos la solicitud dentro de 30 días, salvo la información que debamos conservar por ley.

No vendemos datos. No usamos documentos de clientes para entrenar modelos de terceros. No compartimos información con terceros salvo los proveedores necesarios para prestar el servicio o cuando lo exija una autoridad competente.

Escribe a support@maera.com con los pasos para reproducirla. No accedas a datos de terceros, no ejecutes pruebas de denegación de servicio y danos un plazo razonable para corregir antes de publicar. Agradecemos y damos crédito a quien reporte de buena fe.

Este documento describe controles vigentes y puede actualizarse a medida que evoluciona la plataforma. No constituye una certificación ni una garantía de que ningún sistema sea invulnerable.