Confianza y seguridad
Cómo protegemos tu información
Trabajamos con datos sensibles de tu negocio: RFC, facturas, e.firma y CSD, estados de cuenta. Esta página explica abiertamente cómo los protegemos, qué proveedores usamos y bajo qué marcos legales operamos.
Servicio operado por Clauhub Software LLC.
En esta página
Quiénes somos
Clauhub es la plataforma sobre la que opera tu negocio, y el responsable técnico del tratamiento de datos: hosting, base de datos, autenticación, copias de respaldo y seguridad de la infraestructura. Como organización dueña de tus datos, mantienes el control sobre quién accede a tu información.
Cuatro compromisos por defecto
Cifrado en tránsito y reposo
Todo el tráfico viaja sobre TLS 1.2+. Los datos en reposo los cifran nuestros proveedores de base de datos y almacenamiento (ver Subprocesadores). Los secretos más sensibles se cifran además a nivel de aplicación con AES-256-GCM.
Acceso por mínimo privilegio
Roles y permisos por organización. Quien entra por un portal (un proveedor o un cliente) solo ve lo que le compartes. Cada equipo solo accede a su propia organización.
Bitácora de auditoría
Cada acción crítica (tu e.firma y tu CSD, la emisión y el envío de facturas, las descargas y solicitudes al SAT) queda registrada con quién, qué y cuándo. Las bitácoras se conservan al menos 12 meses.
Respuesta a incidentes
Si detectamos un acceso no autorizado o filtración, contactamos a las organizaciones afectadas sin demora indebida y reportamos a la autoridad competente dentro de los plazos que la ley exige.
Autenticación
La autenticación se resuelve en el servidor. Cada camino de acceso está protegido contra fuerza bruta y reutilización de credenciales.
Contraseñas
Guardadas con hash fuerte (nunca en claro, nunca reversibles). Las contraseñas nuevas se comparan contra bases públicas de filtraciones antes de aceptarse.
Verificación en dos pasos
Disponible para cada usuario: TOTP (aplicación autenticadora) con códigos de respaldo. Activarla o desactivarla exige la contraseña de la cuenta.
Métodos de inicio de sesión
Correo + contraseña, códigos de un solo uso por correo, o inicio de sesión opcional con Google o GitHub.
Sesiones y cookies
Las cookies de sesión son HttpOnly, Secure y SameSite=Lax; el token nunca se guarda en el localStorage del navegador. Restablecer la contraseña cierra todas las sesiones activas.
Límites contra abuso
Límites por IP en cada endpoint sensible (inicio de sesión, códigos por correo, recuperación de contraseña, verificación de TOTP). Los contadores viven en base de datos, no en memoria, por lo que sobreviven a reinicios y aplican consistente entre instancias.
Sin enumeración de usuarios
Los flujos de recuperación y de código responden igual exista o no la cuenta.
Autorización — roles y permisos
La autorización se aplica en el servidor, en cada consulta y mutación. No es algo que el navegador pueda saltarse.
Matriz declarativa
Cada área del producto define sus recursos (organización, usuarios, archivos, reportes, llaves, notificaciones, bitácora) y sus permisos discretos. La matriz se verifica en cada endpoint antes de devolver o modificar cualquier dato.
Roles predefinidos
Propietario, Administrador, roles operativos por área, Consultor externo con fecha de vencimiento, y Solo lectura. La organización nunca puede quedarse sin ningún Propietario.
Roles a la medida
Los planes Enterprise pueden crear roles combinando cualquier permiso de la matriz desde la configuración de la organización.
Barandales de la cuenta
Nadie puede cambiar su propio rol. Solo un Propietario nombra a otro Propietario. Las credenciales sensibles exigen un permiso propio, separado del de configuración.
Aislamiento entre organizaciones
Toda petición al backend recibe el identificador de organización y verifica del lado del servidor que quien pregunta sea miembro activo. La identidad siempre sale de la sesión, nunca de un dato que mande el navegador. Cada identificador de objeto se comprueba contra la organización antes de usarse: un identificador de otra organización se rechaza aunque llegue en el cuerpo de la petición.
Cómo funciona la descarga de un archivo
Los archivos no tienen URL pública. Para descargar un documento, la aplicación pide al backend un enlace de descarga. Antes de emitirlo, el backend valida cuatro cosas:
- La sesión del usuario es válida.
- El usuario es miembro activo de la organización que se está usando.
- Su rol incluye el permiso de exportar.
- El archivo solicitado pertenece efectivamente a esa organización (identificador validado en cruce).
Solo si pasan las cuatro validaciones se devuelve un enlace firmado y temporal emitido por el almacén. El enlace no es adivinable (contiene un token criptográfico) y expira poco tiempo después de ser emitido. Es el mismo modelo que usan servicios como los presigned URLs de S3.
Cabeceras HTTP de seguridad
Todas las respuestas del sitio incluyen:
- HSTS (Strict-Transport-Security) — solo HTTPS, forzado por el navegador.
- X-Content-Type-Options: nosniff.
- Referrer-Policy: strict-origin-when-cross-origin.
- Permissions-Policy — cámara, micrófono y ubicación apagados.
- X-Frame-Options: DENY + frame-ancestors 'none' — la aplicación no puede embebirse en un iframe, lo que elimina el clickjacking.
IA, cuando decides usarla
Las funciones de IA (asistente, notas del tablero, lectura de estados de cuenta, búsqueda) envían al modelo lo necesario para cada tarea, y su respuesta se valida antes de mostrarse. Las peticiones salen únicamente a proveedores con retención cero de datos.
Ningún proveedor entrena con tus datos: OpenRouter solo enruta a proveedores con retención cero, y Mistral tiene prohibido por contrato entrenar con lo que recibe.
Retención y borrado
- Eliminar una organización arrastra en cascada: registros, archivos, credenciales, bandejas, comentarios, campos y columnas propias, avisos, actividad y bitácora.
- Eliminar la cuenta de un usuario borra sus membresías, permisos, foto y preferencias.
- Exportación: el cliente puede llevarse sus datos en Excel, CSV y PDF en cualquier momento.
Marco legal
Operamos bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada el 20 de marzo de 2025 —que abrogó la ley de 2010— de México. La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno, que sustituyó al INAI. Para clientes con operación en la Unión Europea aplicamos GDPR de forma supletoria; para California, CCPA/CPRA. Detalle completo en el Aviso de privacidad.
Subprocesadores
Para entregar el servicio nos apoyamos en estos proveedores. A los clientes con contrato les avisamos con al menos 30 días de anticipación antes de agregar uno.
Última actualización: 25 de octubre de 2026.
Ver la lista completa de subprocesadores →Tus derechos
Como titular de datos personales puedes ejercer tus derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) en cualquier momento. Escríbenos a soporte@clauhub.com y respondemos en máximo 20 días hábiles.
¿Dudas o solicitudes?
Si tienes inquietudes sobre el manejo de tu información, escríbenos a soporte@clauhub.com; para reportar un problema de seguridad, a ops@clauhub.com. Si tus datos los guarda una organización que usa Clauhub, también puedes dirigirte a ella. Las condiciones del servicio están en los Términos.
Preguntas frecuentes
¿Dónde viven mis datos?
En una base de datos PostgreSQL y en el almacenamiento de Cloudflare; la lista de proveedores, con lo que hace cada uno, está en Subprocesadores. Encima de lo que cifran ellos, ciframos con AES-256-GCM a nivel de aplicación los secretos más sensibles.
¿Están certificados?
Nos apoyamos en proveedores de infraestructura con programas de cumplimiento propios; los pagos con tarjeta los procesa Stripe, no nosotros. La lista completa está en Subprocesadores.
¿Guardan datos de mi tarjeta?
No. El cobro lo procesa Stripe; nosotros solo guardamos un identificador de cliente y una descripción ("Visa terminada en 4242").
¿Tienen verificación en dos pasos?
Sí. TOTP (aplicación autenticadora) con códigos de respaldo, activable por cada usuario desde su perfil. Activarla o desactivarla siempre exige la contraseña de la cuenta.
¿Puedo llevarme mis datos si cancelo?
Sí. Puede exportar todo (Excel, CSV, PDF y los archivos originales) en cualquier momento. Eliminar la organización arrastra en cascada registros, archivos, credenciales, bandejas, comentarios, avisos, actividad y bitácora.
¿Cómo reporto un problema de seguridad?
Escríbanos a ops@clauhub.com describiendo el problema, cómo reproducirlo y su impacto. Respondemos en un plazo objetivo de 72 horas hábiles y damos seguimiento hasta el cierre.