Centro de confianza
Seguridad, privacidad y cumplimiento en HelpFalcon
Qué protege tus datos de soporte, dónde están, quién nos ayuda a tratarlos y en qué punto está nuestro programa de cumplimiento.
Última actualización
Resumen
HelpFalcon está en beta privada. Toda la plataforma funciona en un servidor en Falkenstein, Alemania, detrás de Cloudflare, con Docker Compose. Basta para los primeros clientes y somos claros sobre lo que no es: todavía no hay un segundo servidor, ni conmutación por error automática, ni compromiso de disponibilidad; el objetivo de punto de recuperación es de 6 horas y no tenemos ninguna certificación de seguridad. Todo en esta página describe esa configuración e indica dónde la plataforma de producción hará más. Los documentos legales de abajo son borradores pendientes de revisión por un abogado.
Ubicación de los datos
Todo está en Alemania: el servidor, la base de datos y la búsqueda funcionan en la ubicación de Hetzner en Falkenstein, y los adjuntos y las copias de seguridad externas de la base de datos en DigitalOcean Spaces en Fráncfort. Los datos de soporte no salen de la UE salvo con los subencargados indicados, bajo Cláusulas Contractuales Tipo.
Aislamiento de espacios de trabajo
Cada fila lleva su espacio de trabajo y la base de datos lo impone con seguridad a nivel de fila. Los índices de búsqueda, archivos, cachés y canales en tiempo real se separan igual. Las pruebas entre espacios de trabajo se ejecutan en cada cambio.
Cifrado
TLS 1.2 o superior con HSTS en cada conexión con nosotros y TLS dentro de la infraestructura. Nuestros proveedores de alojamiento y almacenamiento cifran sus discos y el almacenamiento de objetos. Los secretos de integración usan una clave que pertenece solo a tu espacio de trabajo.
Desarrollo seguro
Análisis estático (Semgrep, PHPStan), revisión de dependencias y secretos en la CI, un análisis básico con ZAP en staging, protección SSRF en cada llamada saliente y texto enriquecido y temas del centro de ayuda saneados.
Auditoría y acceso
Historial de tickets inmutable y registros de auditoría de administración y acceso que puedes exportar o transmitir. Solo vemos tu espacio de trabajo si concedes acceso al soporte, y cada sesión queda en tu registro de auditoría.
IA con privacidad
Las funciones de IA están desactivadas en la beta privada: no hay ningún proveedor de IA conectado, así que ningún texto de ticket ha salido de nuestros servidores. Cuando se activen, los datos personales se enmascaran antes, nunca se usan para entrenar modelos y los administradores pueden desactivar la IA por completo.
En detalle
Medidas de seguridad
- Cifrado en tránsito
- TLS 1.2+ (preferimos TLS 1.3) en el borde y hasta el origen, HSTS (2 años, subdominios) en cada respuesta de la app y de la API, TLS dentro de la infraestructura hacia la base de datos, la caché y la cola.
- Cifrado en reposo
- Cifrado por parte del proveedor de los discos del servidor y del almacenamiento de objetos con adjuntos y copias de seguridad. Las contraseñas se procesan con Argon2id; los tokens de API y las sesiones del portal se guardan como hashes SHA-256. Claves de sobre por espacio de trabajo (XChaCha20-Poly1305) protegen los secretos de integraciones, canales y SSO; al borrar la clave quedan ilegibles, también en las copias. El cifrado de volúmenes LUKS2 y las copias cifradas en el cliente llegan con la plataforma de producción.
- Autenticación
- Contraseñas con Argon2id, MFA (app de autenticación, passkeys, llaves de seguridad), inicio de sesión con Google o Microsoft, SSO con SAML y OpenID Connect, aprovisionamiento SCIM, políticas de sesión y de contraseña, listas de IP permitidas (Enterprise).
- Copias de seguridad y recuperación
- Copias diarias de todo el disco del servidor guardadas 7 días, un volcado verificado de la base de datos cada 6 horas y un volcado nocturno de la búsqueda en el almacenamiento de objetos de un segundo proveedor, guardados 30 días. Por eso el objetivo de punto de recuperación en la beta es de 6 horas. Los scripts de restauración se ensayan con copias desechables; el primer simulacro en hardware de producción, el archivado continuo para recuperación a un punto en el tiempo y una copia externa inmutable llegan con la plataforma de producción.
- Monitorización
- Una página de estado independiente comprueba cada minuto desde la red de Cloudflare el sitio, la app, la API, un espacio de trabajo, el centro de ayuda y el hub en tiempo real, y nos avisa por correo y chat; los errores van a Sentry (región UE). Los registros de auditoría recogen las acciones de administradores y personal. Las métricas y alertas dentro de la infraestructura y una guardia formal llegan con la plataforma de producción.
- Gestión de vulnerabilidades
- Auditoría de dependencias (Composer y npm), búsqueda de secretos en todo el historial (gitleaks) y análisis estático (Semgrep) en cada cambio, una ejecución semanal programada, un análisis básico con ZAP en staging, una lista de materiales de software por versión y un programa de divulgación responsable. El análisis de imágenes de contenedores y una prueba de penetración externa están previstos antes del lanzamiento.
- Prevención de abusos
- Control en el registro con Cloudflare Turnstile, límites de envío y seguimiento de reputación, bloqueo de nombres de espacio de trabajo confundibles, enlaces para informar de abusos en las páginas alojadas, análisis de malware en adjuntos (ClamAV) y un proceso de retirada.
- Personas
- Un equipo pequeño. Las cuentas del personal usan MFA, el acceso al servidor es solo con clave SSH, custodiada por el fundador, y el acceso del soporte a un espacio de trabajo necesita tu aprobación y queda registrado. Portátiles gestionados y cifrados, comprobación de antecedentes, formación en seguridad y una revisión trimestral de accesos están recogidos en nuestras normas para empleados y se están adoptando, pero aún no se han auditado.
Hoja de ruta de cumplimiento
Estado actual
Las certificaciones llevan tiempo. Mostramos lo que está implantado, lo que está en preparación y lo que aún no está previsto.
| Tema | Estado | Detalles |
|---|---|---|
| RGPD | Implantado | Alojamiento en la UE, acuerdo de tratamiento de datos, herramientas para exportar y borrar los datos de un usuario final, políticas de conservación y redacción. |
| Acuerdo de tratamiento de datos | Borrador, definitivo antes del lanzamiento | Nuestro DPA estándar con las Cláusulas Contractuales Tipo de la UE cuando hacen falta, aviso de brechas en 48 horas. |
| Subencargados | Publicado | La lista completa, con finalidad y ubicación. Los cambios se anuncian con 30 días de antelación. |
| Prueba de penetración externa | Aún no realizada | Alcance: la app, la API, el centro de ayuda, el messenger y el aislamiento de espacios de trabajo; prevista antes del lanzamiento público. No se ha hecho ninguna prueba, así que todavía no hay informe que compartir. |
| SOC 2 Tipo I | En preparación | Políticas redactadas y pendientes de adopción (acceso, respuesta a incidentes, cifrado, gestión de proveedores, seguridad del personal). Sin auditor contratado ni periodo de auditoría fijado. |
| SOC 2 Tipo II | Previsto | Sigue al Tipo I tras el periodo de observación. |
| ISO 27001 | Aún no previsto | Lo reconsideraremos cuando los clientes lo pidan. |
| Accesibilidad (WCAG 2.1 AA) | En curso | Comprobaciones automáticas con axe-core de la app, el centro de ayuda, el messenger y el inicio de sesión en cada ejecución de extremo a extremo; un hallazgo grave o crítico hace fallar la compilación. Falta la auditoría manual con teclado y lector de pantalla, y nuestro informe de conformidad de accesibilidad (VPAT) es un borrador. |
Subencargados
Siete proveedores nos ayudan hoy a operar HelpFalcon: Hetzner (alojamiento, Alemania), Cloudflare (DNS, proxy, TLS, el control del registro y la página de estado), DigitalOcean Spaces (adjuntos y copias externas, Fráncfort), Resend (correo, región UE), Google Workspace (nuestro buzón), Sentry (informes de errores, región UE) y Paddle (pagos, solo en modo sandbox durante la beta). La lista de subencargados indica cada uno, qué hace, dónde trata los datos y la base de la transferencia. Los propietarios de espacios de trabajo reciben aviso de los cambios con 30 días de antelación.
Direcciones IP que permitir
Si tus sistemas solo aceptan tráfico de orígenes conocidos, las direcciones de las que vienen nuestros webhooks, el proxy de apps y el conector de datos de clientes están en la página de direcciones IP (en inglés). Hoy son las de la beta privada y cambian una vez en el lanzamiento público, con 30 días de aviso, ambos conjuntos activos durante esos 30 días y un correo a los administradores.
Estado y disponibilidad
Disponibilidad en directo e historial de incidentes: status.helpfalcon.com. Funciona en la red de Cloudflare, no en nuestro servidor, así que responde aunque estemos caídos. Cada minuto comprueba este sitio, la aplicación, la API con su base de datos, cola, caché y búsqueda, un espacio de trabajo, el centro de ayuda y el hub en tiempo real; marca una comprobación como caída solo tras dos fallos seguidos y responde en formato legible por máquinas en /api/status en el mismo host.
Durante la beta privada no ofrecemos compromiso de disponibilidad: toda la infraestructura funciona en un servidor, así que un reinicio o una incidencia del proveedor se nota como caída. Las cifras de disponibilidad de la página de precios se aplican desde el lanzamiento público, en la plataforma de producción, y el acuerdo de nivel de servicio que las describe aún está por escribir.
Respuesta a incidentes
Tenemos un proceso escrito de respuesta a incidentes con niveles de gravedad, una persona responsable y una revisión posterior para cada incidente grave. Si un incidente de seguridad afecta a datos personales de tu espacio de trabajo, te avisamos sin demora indebida y en un plazo de 48 horas desde que lo sepamos, con los datos que necesitas para tu propia notificación de 72 horas según el artículo 33 del RGPD, y te mantenemos informado hasta cerrarlo.
Informar de una vulnerabilidad
Escribe a security@helpfalcon.com. Confirmamos la recepción en un día laborable y no emprendemos acciones legales contra la investigación de buena fe. Reglas y alcance: divulgación responsable; contacto legible por máquinas: security.txt.
Informar de un abuso
Phishing, spam o contenido dañino en un centro de ayuda, una comunidad o un messenger alojados por HelpFalcon, o correos enviados a través de nosotros: usa el enlace «Informar de un abuso» al pie de esa página o escribe a abuse@helpfalcon.com con la URL o las cabeceras completas del correo. Revisamos los avisos de phishing y malware en 24 horas y retiramos los casos confirmados.
Revisiones de seguridad
Respondemos cuestionarios de seguridad (CAIQ, SIG Lite o el tuyo) y podemos compartir bajo NDA nuestros borradores de políticas y el borrador del informe de conformidad de accesibilidad (VPAT). Todavía no hay informe de prueba de penetración ni de auditoría; la tabla de arriba indica en qué punto está cada uno. Escribe a security@helpfalcon.com o sales@helpfalcon.com.