Tus propuestas contienen datos comerciales sensibles. Nos tomamos tu privacidad y seguridad en serio. Así es como protegemos tu información en cada nivel.
Múltiples capas de seguridad trabajando juntas para mantener tu información comercial segura.
Todos los datos se cifran en tránsito usando TLS 1.2+ y en reposo usando cifrado AES-256. Tus propuestas y datos comerciales están protegidos en cada etapa.
Los permisos basados en roles aseguran que los miembros del equipo solo accedan a lo que necesitan. Los espacios de trabajo están completamente aislados, tus datos nunca son visibles para otras organizaciones.
Las contraseñas se cifran con algoritmos estándar de la industria. La autenticación de dos factores (2FA) está disponible para todas las cuentas. Las sesiones expiran automáticamente después de inactividad.
Procesamos datos de acuerdo con las regulaciones de la UE. Practicamos la minimización de datos, apoyamos el derecho a la eliminación y nunca vendemos tus datos a terceros.
La plataforma funciona en la nube gestionada de Railway en la UE. La base de datos se copia cada día en un almacenamiento separado, y recibimos una alerta si una copia falla.
Los pagos son procesados por Stripe, un proveedor certificado PCI-DSS Nivel 1. Nunca almacenamos números de tarjeta de crédito ni datos de pago sensibles en nuestros servidores.
Desde el momento en que creas una propuesta hasta la firma final, cada funcionalidad está construida con la seguridad en mente.
Cada endpoint de API valida y sanea las entradas para prevenir ataques de inyección. Aplicamos verificación de tipos estricta, límites de longitud y filtrado de contenido en toda la aplicación.
Todos los endpoints están limitados en velocidad para prevenir ataques de fuerza bruta y abuso de API. Operaciones sensibles como inicio de sesión, verificación de firma y restablecimiento de contraseña tienen límites restrictivos adicionales.
Las integraciones CRM usan OAuth 2.0 con PKCE donde sea compatible. Los tokens se cifran en reposo y se renuevan automáticamente. El estado de conexión se verifica en cada solicitud.
Las claves de API se guardan como hash unidireccional y pueden tener fecha de caducidad. El uso cuenta para una cuota mensual por espacio de trabajo y se contabiliza por clave y por día. La creación y la revocación de una clave aparecen en el registro de auditoría del espacio de trabajo, y una clave revocada deja de funcionar al instante.
Las solicitudes cross-origin están restringidas solo a dominios autorizados. Los entornos de producción aplican políticas de origen estrictas, previniendo el acceso no autorizado desde sitios externos.
Realizamos auditorías de seguridad regulares de nuestra base de código, dependencias e infraestructura. Todos los cambios pasan por revisión de código antes del despliegue.
Las propuestas compartidas usan tokens únicos y no adivinables. La protección con contraseña opcional y la expiración de acceso están disponibles. Toda la actividad de visualización se rastrea y es visible para el remitente.
Las firmas electrónicas se verifican mediante autenticación por correo con códigos de un solo uso. Cada firma captura metadatos de consentimiento, marca de tiempo y dirección IP para el cumplimiento legal.
Creemos en la transparencia. Aquí está exactamente qué datos recopilamos y cómo los usamos.
Nombre, dirección de correo, contraseña cifrada, configuración de perfil, configuración 2FA
Contenido de propuestas, tablas de precios, plantillas, subidas de medios, historial de versiones
Tokens de compartición, actividad de visualización (páginas vistas, tiempo invertido), registros de firma, historial de seguimiento
Tokens CRM cifrados, mapeos de campos, datos de deals sincronizados. Solo accedemos a los datos CRM que autorizas explícitamente.
Plan de suscripción, ID de cliente Stripe, historial de facturas. Los detalles de pago se almacenan exclusivamente en Stripe.
La privacidad es un valor fundamental, no solo una casilla de verificación. Diseñamos nuestra plataforma con la privacidad como punto de partida.
Trabajamos con un pequeño número de subencargados del tratamiento, entre ellos Railway para el alojamiento en la UE, Cloudflare, Resend para el correo electrónico y Google para las funciones de IA. La lista completa, con datos, ubicaciones y garantías, está en nuestra página de subencargados del tratamiento.
Las funciones de IA como AI Write, los borradores con IA, la puntuación y el análisis envían el texto con el que trabajan a la Gemini API de Google. Ese texto puede contener datos personales de su propuesta, como nombres y datos de contacto de clientes. No se envía nada hasta que alguien utiliza una función de IA. Google trata el texto como nuestro subencargado del tratamiento. Utilizamos la Gemini API de pago. Según sus condiciones, Google no utiliza las solicitudes ni las respuestas para mejorar sus productos y solo las conserva durante un tiempo limitado para detectar abusos. No utilizamos su contenido para entrenar modelos de IA. Si su espacio de trabajo utiliza su propia clave de IA, la redacción con IA se envía al proveedor que usted eligió. La puntuación y la traducción del chat siguen usando Gemini.
¿Utiliza Proposal Expert para datos personales de sus clientes? Hay disponible bajo petición un acuerdo de encargo del tratamiento (DPA) conforme al artículo 28 del RGPD. Se lo enviamos para que lo revise y lo firme. Remite a esta lista de subencargados del tratamiento.
La seguridad de tus datos es nuestra prioridad. Comienza a crear propuestas profesionales con confianza.