Seguridad de PayToMe: cómo protegemos tus datos

La seguridad de PayToMe parte de una idea sencilla: los datos más seguros son los que nunca recopilamos. Esta página describe qué hacemos hoy para proteger a quienes visitan este sitio web, cómo se gestionan las cuentas y los pagos y cómo informar de un problema. PayToMe está en beta pública. Lo decimos cuando una protección todavía no está en marcha.

Seguridad de PayToMe: lo que ya está en marcha

Conexiones cifradas

El sitio web se sirve por HTTPS. También enviamos una cabecera HTTP Strict Transport Security (HSTS), que indica a los navegadores que usen HTTPS en las próximas visitas al sitio.

Protecciones estrictas del navegador

Enviamos una Content Security Policy (CSP) estricta y otras cabeceras de seguridad. Una CSP limita qué scripts, estilos y conexiones puede usar una página, lo que reduce el daño si alguien intentara inyectar código malicioso. El sitio no carga scripts de terceros.

Sin cookies ni rastreadores

El sitio web no instala cookies ni usa analítica ni rastreadores publicitarios. No hay ningún script de seguimiento que pueda filtrarse, venderse o usarse mal.

Los datos de los generadores se quedan en tu navegador

Las herramientas gratis, como el generador de facturas y la calculadora de recargo por mora, funcionan en tu navegador. Lo que escribes en ellas, incluidos los nombres de clientes, los conceptos y los importes, no se envía a nuestros servidores. Míralas todas en la página de herramientas.

Datos del boletín

El boletín es opcional. Si te unes, guardamos tu correo electrónico, la hora en que te registraste y la página desde la que lo hiciste. El sitio web está alojado en Cloudflare, que también gestiona la base de datos que contiene los registros del boletín. Los correos se envían a través de Resend. Estas dos empresas tratan datos en nuestro nombre. Lo que guardamos y por qué se describe en la política de privacidad.

Para limitar el abuso del formulario del boletín, guardamos un hash con sal de la dirección IP en lugar de la dirección original.

Inicio de sesión

Las personas tienen cuentas en app.paytome.si. Inicias sesión con una clave de acceso (passkey), una billetera o un código enviado a tu correo electrónico. Una passkey significa que no hay contraseña que adivinar ni robar con phishing. Nunca te pedimos por correo una passkey, una frase de recuperación de la billetera ni un código de inicio de sesión, así que considera sospechoso cualquier mensaje que lo haga.

Pagos

Los pagos los procesa Stripe. PayToMe no almacena números de tarjeta. Los planes de pago son suscripciones que factura Stripe, y puedes cancelar cuando quieras.

IA segura

El asistente Via prepara facturas y pregunta antes de enviar. Los totales los calcula el motor de facturas de PayToMe, no el modelo de IA. Via está activo en beta.

Lo que está en desarrollo

Estos puntos están en desarrollo y todavía no están activos.

• La app móvil. Está en desarrollo, y esta página se ampliará para cubrirla cuando esté activa.

No afirmaremos tener una certificación, como SOC 2 o PCI DSS, hasta que la tengamos.

Cómo informar de una vulnerabilidad

Damos la bienvenida a los informes de investigadores de seguridad y de cualquiera que vea algo extraño. Nuestros datos de contacto siguen la RFC 9116, el estándar para un archivo security.txt, y se publican en /.well-known/security.txt.

Para informar de un problema, escribe a security@paytome.si con:

1. Una descripción del problema y de su impacto.
2. Los pasos para reproducirlo, o una prueba de concepto.
3. La dirección de la página o el componente afectado.
4. Cómo podemos contactarte, si quieres una respuesta.

Reglas básicas

• Haz pruebas solo con tus propios datos y sesiones. No accedas a datos de otras personas, ni los cambies ni los elimines.
• No hagas pruebas de denegación de servicio ni envíes spam a través del formulario del boletín.
• Danos un plazo razonable para corregir el problema antes de compartir los detalles públicamente.
• No uses ingeniería social contra nadie.

Si sigues estas reglas, trataremos tu informe como hecho de buena fe. Leeremos cada informe y trabajaremos en los problemas confirmados.

Todavía sin programa de recompensas

PayToMe no tiene por ahora un programa de recompensas por errores, así que no podemos ofrecer un pago por los informes. Sí podemos ofrecer nuestro agradecimiento y, con tu permiso, un reconocimiento cuando se corrija un problema. Si ponemos en marcha un programa, esta página lo dirá.

Lo que puedes hacer

• Usa un navegador actualizado, para que aplique las protecciones que enviamos.
• Si recibes un correo que dice ser de PayToMe y pide una contraseña o datos de pago, no respondas. Reenvíalo a security@paytome.si.
• Recuerda que los generadores guardan tus datos en tu navegador, así que borrar los datos del sitio o cerrar la pestaña los elimina.

Preguntas

Para cualquier cosa que no se trate aquí, consulta la página de contacto o lee sobre nuestro enfoque en la página sobre nosotros.