Política de seguridad

1. Cómo protegemos tus datos

• Conexión cifrada. En producción, ImpulsA solo se sirve por HTTPS y le indicamos al navegador que no use conexiones sin cifrar (HSTS).
• Contraseñas. Nunca se guardan en texto: solo un «hash» irreversible (bcrypt). No se envían a ningún tercero ni a la IA.
• Sesión. Es una cookie firmada, «httpOnly» (el código de la página no puede leerla) y «SameSite». Si una cuenta se suspende, su sesión deja de valer.
• Freno a la fuerza bruta. Tras varios intentos fallidos de inicio de sesión se bloquea temporalmente ese correo.
• Accesos del equipo. El panel de administración solo lo abren cuentas con rol de administración y cada acción queda en una bitácora.
• Archivos subidos. Solo personas adultas, solo JPEG, PNG, WebP o PDF reconocidos por su contenido (no por su extensión), con tamaños máximos, guardados fuera de la carpeta pública y servidos con cabeceras restrictivas. A las fotos de perfil se les quita la ubicación y los datos ocultos.
• Lo que escribes es dato, no órdenes. Los textos de las personas se tratan como datos al enviarlos a la IA y se validan al guardarlos, para dificultar ataques por inyección.
• Cabeceras de seguridad contra la incrustación de ImpulsA en otros sitios (clickjacking), el cambio de tipo de los archivos y el envío de datos a otros sitios desde los formularios.
• Menos datos, menos riesgo. No usamos analítica ni publicidad de terceros y la IA solo recibe lo necesario para responder. Los dibujos, fotos y pantallazos de las prácticas no se guardan.

Ningún sistema es perfecto, y no prometemos que ImpulsA sea invulnerable; sí que nos tomamos en serio protegerla y mejorarla.

2. Protección de menores

• Se necesita la autorización de una persona adulta responsable para crear la cuenta de alguien menor de 18 años.
• Los niños y las niñas no tienen portafolio público ni pueden subir archivos ni compartir pantalla.
• El mentor tiene reglas adicionales para niños, niñas y jóvenes: no pide ni acepta datos personales, no propone contactos externos y, ante señales de riesgo, orienta hacia una persona adulta de confianza.
• Si ves algo que ponga en riesgo a un menor, repórtalo de inmediato.

3. Lo que puedes hacer tú

• Usa una contraseña larga y única (mínimo 8 caracteres; mejor una frase) y no la compartas.
• Cierra sesión (Salir) si usas un equipo de otras personas, como el de un colegio, una biblioteca o un café internet.
• No compartas datos personales, claves ni datos bancarios con el mentor ni en tu hoja de vida.
• Desconfía de mensajes que digan ser de ImpulsA y te pidan tu contraseña: nunca te la pediremos.
• Descarga o elimina tus datos cuando quieras en Mi cuenta.

4. Si algo sale mal

Si detectamos un incidente que afecte datos personales, lo contendremos, avisaremos a las personas afectadas (y a sus familias, si son menores) sin demora injustificada y lo reportaremos a la Superintendencia de Industria y Comercio en los plazos que establezca la ley.

5. Reportar una vulnerabilidad

Si encontraste un fallo de seguridad en ImpulsA, escríbenos a servicioalcliente@impulsaapp.com con una descripción, los pasos para reproducirlo y, si puedes, su impacto. También lo publicamos en /.well-known/security.txt.

Te pedimos que actúes de buena fe:

• No accedas, modifiques ni descargues datos de otras personas más allá de lo mínimo para demostrar el fallo.
• No interrumpas el servicio (nada de pruebas de denegación de servicio) ni uses ingeniería social contra personas del equipo o usuarias.
• Danos un plazo razonable para corregirlo antes de contarlo públicamente.
• No pidas dinero a cambio de no divulgar el fallo.

Si actúas así, no emprenderemos acciones legales contra ti por la investigación. Confirmaremos la recepción de tu reporte y te mantendremos al tanto de la solución. No ofrecemos recompensas económicas por ahora.