Política de privacidad

Cuando creas una cuenta guardamos lo mínimo necesario para operarla:

• Email y, si lo cargas, tu nombre.
• Contraseña, guardada como hash (nunca en texto plano) — o, si te registras con Google, ningún password nuestro: la autenticación la resuelve Google.
• El nombre de tu organización y quiénes son sus miembros (email + rol).
• Si intentas iniciar sesión sin éxito varias veces, guardamos el email intentado, el motivo del fallo y la IP del intento — es un registro de seguridad interno para detectar ataques de fuerza bruta contra la plataforma, no algo que se muestre en tu cuenta.

Por cada sitio que agregas a Vigilantte guardamos:

• El dominio y el método con el que lo verificaste (script, TXT en tu DNS, Shopify o API Key).
• Los resultados de cada escaneo: un score por categoría (TLS, headers, DNS, puertos, reputación, etc.) y los hallazgos individuales (título, descripción, severidad y la evidencia técnica puntual que originó el hallazgo — por ejemplo, el header HTTP faltante o el dominio del script sospechoso).
• Las reglas de falso positivo ("ignore rules") que crees, con su motivo y expiración si le pusiste una.
• Si conectas Shopify, el access token de tu Custom App queda guardado cifrado (AES-256-GCM) — nunca en texto plano.

Si instalas el script de monitoreo de Vigilantte en tu sitio, ese script corre en el navegador de quienes visitan tu sitio, no en el tuyo, y reporta señales técnicas sobre el código de la página — no sobre las personas que la visitan:

• URLs servidas por HTTP en una página HTTPS (mixed content).
• Nombres de cookies presentes en el documento — nunca su valor ni su contenido.
• Dominios de scripts de terceros cargados en la página.
• Formularios con campo de contraseña que envían sus datos por HTTP en vez de HTTPS.
• Enlaces a otros dominios que abren pestaña nueva sin rel="noopener" (tabnabbing).
• Errores de JavaScript no manejados (mensaje y archivo, recortados a 200 caracteres).

Este script no recolecta IP, ubicación, identificadores de usuario ni ningún dato personal de quien visita tu sitio. El servidor de Vigilantte sí ve la IP de origen de cada envío (como cualquier request HTTP), pero la usamos solo para limitar abuso (rate limiting) — no queda asociada de forma permanente a un visitante.

Si contratas un plan pago, el cobro lo procesa Stripe. Vigilantte nunca ve ni guarda el número de tu tarjeta — solo el identificador de cliente y de suscripción que Stripe nos devuelve, para saber qué plan tienes activo.

No vendemos datos a nadie. Los únicos terceros que reciben información, y solo la necesaria para cumplir su función puntual, son:

• Resend — envío de emails transaccionales (verificación de cuenta, alertas, invitaciones).
• Stripe — procesamiento de pagos y facturación, si usas un plan pago.
• Google — solo si eliges iniciar sesión con Google (OAuth); no lo usamos si te registras con email y contraseña.
• Cloudflare Turnstile — captcha en registro/login para frenar bots, cuando está activado.
• Webshare — en planes pagos, algunos requests de escaneo hacia tu sitio salen a través de sus proxies para no comprometer la IP de nuestro servidor. No comparte datos de tu cuenta, solo enruta tráfico técnico del escaneo.
• AlienVault OTX y Google Safe Browsing — los consultamos, cuando están configurados, para chequear la reputación del dominio que escaneas contra bases de amenazas conocidas. No les enviamos datos de tu cuenta ni de tus visitantes.

Mientras tu cuenta esté activa. Si eliminas un sitio o tu organización, sus escaneos, hallazgos, telemetría y reglas de ignorado se eliminan junto con él. Si quieres que eliminemos tu cuenta por completo, escribinos y lo hacemos manualmente.

• Contraseñas guardadas como hash, nunca en texto plano.
• Tokens y credenciales de integraciones (Shopify, proxies, claves de terceros) cifrados en reposo con AES-256-GCM.
• Protección CSRF en las rutas que dependen de sesión, rate limiting contra abuso, y límite de tamaño en los requests entrantes.
• Registro de intentos de login fallidos para detectar ataques de fuerza bruta.

Dicho esto, somos honestos: Vigilantte es un producto en construcción activa, sin una certificación formal como SOC 2 o ISO 27001 hoy. Lo de arriba es una descripción real de lo que implementamos, no una promesa de cumplimiento normativo que no podemos sostener.

Desde tu cuenta puedes ver, editar y eliminar tus sitios, findings e ignore-rules en cualquier momento. Para pedirnos acceso, corrección o eliminación de cualquier otro dato personal, escribinos a hola@vigilantte.zeroazul.com.

Si cambiamos algo relevante en cómo tratamos tus datos, actualizamos esta página y la fecha de arriba. Si el cambio es significativo, te avisamos por email.