Resumen de seguridad

Última actualización: 26 de agosto de 2026

Este documento describe cómo protege supportpages.io sus datos. Somos transparentes sobre nuestras prácticas de seguridad porque la confianza exige transparencia.

Infraestructura

Ubicación del alojamiento

Proveedor: Hetzner
Ubicación: Finlandia (UE)
Jurisdicción: Se aplica la normativa de protección de datos de la UE

¿Por qué Finlandia?

Elegimos un alojamiento en la UE porque:
- Cumplir el RGPD es más sencillo cuando los datos permanecen en la UE
- Hetzner aplica prácticas de seguridad sólidas
- Finlandia cuenta con una legislación de protección de datos robusta

Seguridad física

Los centros de datos de Hetzner disponen de:
- Seguridad presencial las 24 horas, todos los días
- Controles de acceso biométricos
- Videovigilancia
- Alimentación eléctrica y refrigeración redundantes

Autenticación

Cómo inicia sesión

Solo GitHub OAuth – No almacenamos contraseñas
Tokens seguros – GitHub proporciona los tokens de autenticación
Gestión de sesiones – Cookies seguras de tipo HTTP-only

Qué almacenamos

El ID de usuario de GitHub (no su contraseña)
El token OAuth de GitHub (para el acceso a la API)
Tokens de sesión (para mantener la sesión iniciada)

Seguridad de los tokens

El acceso mediante la GitHub App que usamos para leer sus repositorios es de corta duración y se limita a los repositorios que usted elige
Los tokens de acceso almacenados residen en nuestra base de datos alojada en la UE, nunca se exponen en los registros y nunca se comparten con otros usuarios
Puede revocar nuestro acceso desde GitHub en cualquier momento

Datos en tránsito

Cifrado

TLS 1.2 o superior en todas las conexiones
Solo HTTPS – HTTP redirige a HTTPS
HSTS – Los navegadores recuerdan que deben usar HTTPS

Qué significa esto

Cuando utiliza supportpages.io:
- La conexión de su navegador está cifrada
- Los datos no pueden interceptarse en tránsito
- Ni siquiera nosotros podemos ver los datos en tránsito (cifrado de extremo a extremo)

Seguridad de la API

Todas las llamadas a API externas usan HTTPS
Las cargas útiles de los webhooks se firman y se verifican
Los tokens de API nunca se exponen en los registros

Datos en reposo

Base de datos

Almacenamiento cifrado
Copias de seguridad periódicas (también cifradas)
Copias de seguridad almacenadas en la misma región (Finlandia)

Qué almacenamos

Cuentas y ajustes de usuario
Configuraciones de proyectos
Documentación generada
Analítica de uso

Qué no almacenamos

Su código en bruto (se procesa temporalmente y después se elimina)
Su contraseña de GitHub
Datos personales innecesarios

Tratamiento del código

Esta es la parte más delicada de lo que hacemos. Así es como protegemos su código:

Análisis inicial del código

Activación – Usted apunta SupportPages a un repositorio (análisis en la nube) e inicia la primera ejecución
Aislamiento – Su código se copia en un entorno seguro y aislado (sandbox)
Análisis – La IA lee su código para entender su estructura y su finalidad
Limpieza – El entorno aislado se destruye y su código se elimina
Almacenamiento – Solo se almacenan el resumen generado y los metadatos

Análisis de PR

Notificación – GitHub nos notifica que se ha fusionado una PR
Aislamiento – Se crea un entorno aislado nuevo
Análisis – La IA analiza los cambios en el contexto de su código
Limpieza – El entorno se destruye y su código se elimina
Almacenamiento – Solo se almacena la documentación generada

Análisis en su infraestructura (SupportPages Agent, beta)

Los dos flujos anteriores describen el análisis en la nube. En su lugar, puede ejecutar el análisis en una infraestructura que usted controle mediante SupportPages Agent, que se elige durante el registro. Agent está en fase beta y se va abriendo equipo a equipo.

Dónde se ejecuta – Dentro de su agente de programación (como skill y servidor MCP), o como paso de su pipeline de CI/CD que se ejecuta en cada fusión
Qué lee – El código que ya está descargado en esa máquina o ese runner. No lo clona desde nuestros sistemas y no disponemos de ningún token de acceso a su repositorio
Qué envía a SupportPages – El contenido de los artículos generados, mediante HTTPS
Qué no envía nunca – Su código fuente, los diffs ni el contenido de los archivos

En este modo, SupportPages no recibe, trata ni almacena su código en ningún momento. Los pasos de sandbox y limpieza anteriores no se aplican, porque el código nunca sale de su entorno.

Medidas de seguridad

Entornos aislados – Su código se ejecuta en contenedores aislados
Procesamiento efímero – Cada análisis usa un entorno nuevo
Sin almacenamiento persistente – Los entornos se destruyen después de cada uso
Sin conservación del código – Su código fuente nunca se almacena en nuestra base de datos
Un único proveedor de IA – El código solo se comparte con nuestro proveedor de IA (Anthropic)

Nuestro proveedor de IA

Según nuestro Acuerdo de tratamiento de datos con Anthropic:
- Trata su código para generar documentación
- No almacena su código una vez finalizado el procesamiento
- No entrena modelos con sus datos
- No comparte su código con terceros

Controles de acceso

Acceso interno

Principio de mínimo privilegio – El personal solo accede a lo que necesita
Sin acceso rutinario al código – No miramos su código
Registros de auditoría – Los accesos quedan registrados

Cuándo podríamos acceder a los datos

Depuración – Si nos informa de un error y nos pide que lo investiguemos
Incidentes de seguridad – Si necesitamos investigar una violación de seguridad
Requisitos legales – Si la ley nos obliga

Le notificaremos si accedemos a sus datos (salvo que la ley lo prohíba).

Acceso de los clientes

Usted solo accede a sus propios datos
Los proyectos están aislados entre usuarios
Se requiere autenticación para todo acceso

Monitorización

Qué monitorizamos

Errores y excepciones de la aplicación
Métricas de rendimiento
Eventos de seguridad (inicios de sesión fallidos, etc.)

Qué no monitorizamos

El contenido de su código
El contenido de su documentación
Sus patrones de uso privados

Registro de errores

Nuestra monitorización de errores filtra:
- Tokens de autenticación
- Contenido del código
- Datos personales sensibles

Los registros de errores incluyen información de diagnóstico, pero nunca su código.

Respuesta a incidentes

Si algo sale mal

Detección – La monitorización nos alerta de los problemas
Evaluación – Valoramos el alcance y el impacto
Contención – Frenamos el daño
Notificación – Le contamos lo ocurrido (en un plazo de 72 horas en caso de violaciones de seguridad)
Resolución – Corregimos la causa de fondo
Análisis posterior – Aprendemos y mejoramos

Notificación de violaciones de seguridad

En caso de violaciones de la seguridad de los datos personales, nos comprometemos a:
- Notificar a los clientes afectados en un plazo de 72 horas
- Facilitar detalles de lo ocurrido
- Explicar qué estamos haciendo al respecto

Seguridad de terceros

Selección de subencargados

Antes de recurrir a un subencargado, verificamos que:
- Dispone de las certificaciones de seguridad adecuadas
- Firma acuerdos de tratamiento de datos
- Cumple nuestros estándares de seguridad

Subencargados actuales

Consulte nuestra página de Subencargados para conocer los detalles de seguridad de cada proveedor.

Revisión continua

Revisamos periódicamente las prácticas y certificaciones de seguridad de los subencargados.

Lo que no hacemos

Para que quede claro, nosotros no:
- Vendemos sus datos
- Compartimos el código con partes no autorizadas
- Entrenamos IA con sus datos
- Almacenamos contraseñas
- Usamos cookies de seguimiento
- Exploramos su código en busca de información más allá de la documentación

Sus responsabilidades

La seguridad es una responsabilidad compartida. Usted debe:
- Mantener segura su cuenta de GitHub (use la autenticación en dos pasos)
- Revisar la documentación generada antes de publicarla
- Informar sin demora de cualquier problema de seguridad
- Revocar el acceso si deja de usar el servicio

Cómo informar de problemas de seguridad

¿Ha encontrado una vulnerabilidad? Comuníquenoslo:

Correo electrónico: security@supportpages.io

Agradecemos la divulgación responsable. Nos comprometemos a:
- Acusar recibo en un plazo de 24 horas
- Mantenerle informado de nuestra investigación
- Reconocer su contribución (si lo desea) cuando la corrijamos
- No emprender acciones legales contra investigadores que actúen de buena fe

Certificaciones y cumplimiento

Situación actual

Conforme al RGPD – Alojamiento en la UE, DPA disponible
SOC 2 – Todavía no (está en nuestra hoja de ruta)

Hoja de ruta

A medida que crezcamos, tenemos previsto obtener:
- La certificación SOC 2 Type II
- La certificación ISO 27001

Preguntas

¿Tiene preguntas sobre seguridad? Póngase en contacto con nosotros:

Correo electrónico: security@supportpages.io

Estaremos encantados de explicarle nuestras prácticas de seguridad con más detalle, firmar acuerdos de confidencialidad (NDA) para conversaciones delicadas o cumplimentar cuestionarios de seguridad.

La seguridad nunca está «terminada». Mejoramos nuestras prácticas de forma continua. Este documento refleja nuestra situación actual en la fecha indicada arriba.