Visión General de Seguridad

Índice

1. 1. En resumen
2. 2. Dónde se conservan sus datos
3. 3. Cifrado
4. 4. Separación de los datos de cada negocio
5. 5. Protección del inicio de sesión
6. 6. Pista de auditoría y detección de manipulaciones
7. 7. Copias de Seguridad y recuperación
8. 8. Pagos y dinero
9. 9. Inteligencia artificial
10. 10. Acceso de nuestro equipo
11. 11. Supervisión y respuesta a incidentes
12. 12. Certificaciones
13. 13. Qué puede hacer usted
14. 14. Notificación de una vulnerabilidad

Versión: 1.2 · Publicado el: 16 de octubre de 2026 · En vigor: en el momento de la aceptación para los nuevos Espacios de Trabajo; para los Espacios de Trabajo que aceptaron una Versión anterior, en la fecha que STAK indique en su notificación conforme a la cláusula 20 de las Condiciones del Servicio para Clientes · Texto prevalente: Inglés (cláusula 23.9 de las Condiciones del Servicio para Clientes)

Emitido por: STAK Global, LLC, una sociedad de responsabilidad limitada constituida en el Estado de Delaware, Estados Unidos de América (número de expediente 10798493), que es titular de STAK (ستاك) y de los Servicios. Contacto: [email protected].

Esta Visión General de Seguridad explica en lenguaje sencillo cómo protegemos los datos de su negocio y conservamos copias de ellos, tal como están las cosas en la Fecha de Entrada en Vigor de esta Versión. La actualizamos cuando eso cambia. Tiene carácter meramente informativo. Nuestros compromisos contractuales figuran en el Acuerdo de Tratamiento de Datos. Las expresiones definidas en las Condiciones del Servicio para Clientes de STAK tienen el mismo significado en esta Visión General de Seguridad.

1. En resumen

• Sus datos se cifran mientras se transmiten y mientras están almacenados en nuestros sistemas.
• Los datos de cada negocio se mantienen separados de los de todos los demás en la propia base de datos.
• Realizamos Copias de Seguridad continuas y conservamos copias diarias y mensuales en otro país, protegidas contra su eliminación anticipada.
• No almacenamos números de tarjeta, y nunca recibimos ni retenemos su dinero.
• Todo cambio importante se registra en una pista de auditoría que ningún Usuario puede alterar.
• Actualmente no disponemos de la certificación ISO 27001 ni de un informe SOC 2. Lo indicaremos aquí cuando los obtengamos.

2. Dónde se conservan sus datos

2.1 Los Servicios se ejecutan en la infraestructura en la nube de Amazon Web Services en la región de Fráncfort, en la República Federal de Alemania. Las Copias de Seguridad se copian en una región distinta de Amazon Web Services en la República de Irlanda. Esta separación significa que puede conservarse una copia de sus datos incluso si falla toda la región de alojamiento principal.

2.2 En el futuro podemos trasladar el alojamiento a otra región. Se lo notificaremos con al menos 30 días de antelación. La ejecución temporal de los Servicios desde las Copias de Seguridad en la República de Irlanda tras la pérdida de la región de alojamiento principal no es un traslado, y se lo comunicaremos sin demora.

2.3 STAK es prestado por STAK Global, LLC, una sociedad constituida en los Estados Unidos de América. Nuestro proveedor de alojamiento y algunos de nuestros proveedores de servicios están también sujetos a la legislación de los Estados Unidos. Protegemos sus datos frente al acceso ilícito de cualquier gobierno según se establece en la cláusula 13 del Acuerdo de Tratamiento de Datos: divulgamos datos solo ante una solicitud vinculante, se lo comunicamos salvo que la ley lo prohíba, limitamos la divulgación al mínimo e impugnamos las solicitudes que consideremos razonablemente ilícitas. Sus datos se cifran mientras están almacenados y mientras se transmiten.

3. Cifrado

3.1 Toda conexión con los Servicios se cifra con TLS versión 1.2 o posterior, y la aplicación verifica la identidad del servidor de la base de datos en cada conexión.

3.2 Las bases de datos, los discos, los archivos, las Copias de Seguridad y el almacén de secretos se cifran en reposo con AES-256, mediante claves gestionadas a través del servicio de gestión de claves de Amazon o por el proveedor de alojamiento.

3.3 Los archivos de sus empleados y los historiales clínicos se cifran además dentro de la aplicación con claves independientes, y las claves para conectarse a los Proveedores de Servicios de Pago y a otros proveedores se conservan en un almacén de secretos independiente cifrado con una clave independiente.

4. Separación de los datos de cada negocio

4.1 Cada registro de los datos de un negocio en la base de datos lleva el identificador del Negocio al que pertenece. La propia base de datos aplica reglas de seguridad a nivel de fila que impiden que la aplicación lea o escriba los registros de otro Negocio. Se trata de una capa de protección independiente situada bajo las propias comprobaciones de la aplicación.

4.2 La cuenta de base de datos que utiliza la aplicación no tiene permiso para eludir estas reglas.

5. Protección del inicio de sesión

5.1 Puede iniciar sesión con:

• un código de verificación enviado por WhatsApp a un número verificado;
• una clave de acceso (passkey), mediante reconocimiento facial o de huella dactilar;
• una cuenta de Google, Apple o Microsoft.

Puede utilizarse una aplicación de autenticación como segundo paso tras iniciar sesión. No utilizamos contraseñas.

5.2 Puede exigir el inicio de sesión en dos pasos para roles específicos, y los Propietarios y Administradores reciben una alerta cuando alguien cambia sus métodos de verificación. Cada persona recibe una alerta cuando su propia Cuenta se utiliza desde un dispositivo nuevo. En los Planes que los incluyen, también puede establecer un tiempo de inactividad de la sesión, y los Propietarios reciben una alerta cuando alguien inicia sesión desde un dispositivo nuevo.

5.3 Cada Miembro del Personal recibe un rol y unos permisos definidos, y su acceso puede limitarse a determinadas Sucursales. El personal que utiliza Dispositivos compartidos emplea un número de identificación personal (PIN) de seis dígitos, y el inicio de sesión con él se bloquea tras cinco intentos erróneos.

6. Pista de auditoría y detección de manipulaciones

6.1 Todo cambio importante se registra en una pista de auditoría, con quién lo hizo, cuándo, desde dónde y desde qué dirección IP. Ningún Usuario puede alterar ni eliminar esta pista; la única excepción es que, al atender una solicitud de supresión de los datos de un Cliente Final, se elimina la identidad de esa persona de sus entradas, conservándose lo que se hizo, quién lo hizo y cuándo. La pista se elimina junto con los Datos del Cliente al terminar el Contrato conforme a las Condiciones.

6.2 Los asientos contables se encadenan de forma que cualquier modificación posterior queda de manifiesto, y puede comprobar su integridad desde la página de Seguridad.

7. Copias de Seguridad y recuperación

7.1 Realizamos Copias de Seguridad continuas de las bases de datos, que permiten restaurarlas a cualquier momento de los últimos 35 días. También realizamos:

• Copias de Seguridad diarias, conservadas durante 35 días;
• Copias de Seguridad mensuales, conservadas durante 12 meses;
• una Copia de Seguridad lógica de la base de datos (un volcado de la base de datos) cada noche, conservada durante 35 días en un almacenamiento bloqueado.

7.2 Las Copias de Seguridad diarias y mensuales se copian en Irlanda. La política de las bóvedas de copias de seguridad de Fráncfort e Irlanda impide que nadie, incluido nuestro propio equipo, elimine una Copia de Seguridad antes de que termine su plazo de conservación o modifique dicho plazo. Las bóvedas también están bloqueadas en el modo de cumplimiento (compliance mode) del proveedor de alojamiento, que está diseñado para que nadie, incluido quien llegara a tomar el control de una de nuestras cuentas en el proveedor de alojamiento, pueda eliminar una Copia de Seguridad en sus primeros 35 días.

7.3 Cada mes probamos la restauración de la base de datos a partir de las Copias de Seguridad. Nuestro objetivo es no perder más de 15 minutos de datos si falla una base de datos, y no más de 24 horas si se pierde toda la región de alojamiento, en línea con los objetivos de recuperación del Acuerdo de Nivel de Servicio.

7.4 Conservamos las Copias de Seguridad para restaurar el servicio, no como archivo para usted. Por ello, exporte sus datos con regularidad desde la página de Plan y facturación o desde cada Aplicación.

8. Pagos y dinero

8.1 Los Servicios están diseñados para que los números de tarjeta no pasen por nuestros sistemas ni se almacenen en ellos: el pago se realiza en las propias páginas de los Proveedores de Servicios de Pago o en sus terminales y aplicaciones certificados de aceptación de tarjetas. Las pantallas de los Servicios no contienen ningún campo para números de tarjeta ni para sus códigos de seguridad, y puede solicitar, desde la página de Seguridad, que se analicen los campos de texto en busca de números de tarjeta introducidos por error.

8.2 Su dinero se liquida directamente desde el Proveedor de Servicios de Pago a su cuenta bancaria. Nunca lo recibimos ni lo retenemos.

8.3 Cambiar la cuenta bancaria registrada en STAK para recibir liquidaciones requiere un paso adicional de verificación y solo surte efecto transcurridas 48 horas. Los Propietarios reciben una alerta de inmediato para poder cancelarlo.

9. Inteligencia artificial

9.1 Los datos se envían al proveedor de IA solo cuando un Usuario solicita una Función de IA, carga un documento para que una de ellas lo lea, como un recibo, o cuando una automatización que un Usuario ha configurado ejecuta un paso de IA, y solo se envían los datos necesarios para esa solicitud o paso.

9.2 Sus datos no se utilizan para entrenar modelos de inteligencia artificial. Las Funciones de IA modifican un registro solo tras su confirmación expresa, o en virtud de una automatización que un Usuario autorizado haya configurado y activado.

10. Acceso de nuestro equipo

El acceso al Entorno de Producción se restringe a un número limitado de miembros del personal designados nominalmente y exige autenticación multifactor, y se registra el inicio de cada sesión de acceso. El acceso administrativo a los servidores se realiza únicamente a través del servicio de gestión de sistemas de Amazon, sin inicio de sesión directo en los servidores.

Solo consultamos sus datos en estos casos:

• para prestar el soporte que usted solicite;
• para operar, mantener y restaurar los Servicios;
• para investigar un Incidente de Seguridad o una presunta infracción de la Política de Uso Aceptable;
• cuando la ley lo exija.

11. Supervisión y respuesta a incidentes

11.1 Supervisamos la infraestructura en la nube de forma automática las veinticuatro horas del día, con alertas inmediatas a nuestro equipo. Cada acción administrativa en la infraestructura en la nube se registra, y las amenazas y los permisos excesivos se detectan automáticamente.

11.2 Si una Violación de la Seguridad de los Datos Personales afecta a sus datos, se lo notificamos sin demora injustificada: en un plazo de 24 horas desde que tengamos conocimiento de ella cuando sea factible, y en cualquier caso en un plazo de 48 horas. Le informamos de lo ocurrido y de lo que hemos hecho al respecto.

12. Certificaciones

Actualmente no disponemos de la certificación ISO 27001 ni de un informe SOC 2. Tampoco disponemos de la certificación PCI DSS, porque los Servicios están diseñados para que los datos de tarjeta no pasen por nuestros sistemas: se procesan en las propias páginas de los Proveedores de Servicios de Pago o en sus terminales y aplicaciones certificados. Los Proveedores de Servicios de Pago que usted conecta a los Servicios disponen de sus propias certificaciones. Enumeraremos aquí cualquier certificación que obtengamos en el futuro.

Si acepta pagos con tarjeta a través de sus páginas de STAK, el comprador es redirigido a la propia página de su Proveedor de Servicios de Pago, o bien usted utiliza sus terminales y aplicaciones certificados, de modo que las páginas de STAK nunca recopilan datos de tarjetas. Consulte con su Proveedor de Servicios de Pago sus propias obligaciones PCI DSS; un negocio que utiliza una redirección de este tipo suele completar el cuestionario de autoevaluación más corto (SAQ A). STAK no afirma tener la certificación PCI DSS.

13. Qué puede hacer usted

• Active el inicio de sesión en dos pasos para los Propietarios y Administradores.
• Conceda a cada Miembro del Personal solo los permisos que necesite su trabajo, y retire de inmediato el acceso a quien se marche.
• Exporte sus datos con regularidad, al menos una vez al mes.
• Mantenga conectados los Dispositivos de punto de venta hasta que las ventas registradas sin conexión terminen de sincronizarse, antes de borrar o cerrar sesión en cualquier Dispositivo.
• Mantenga actualizados los sistemas y navegadores de sus dispositivos.
• Comuníquenos de inmediato cualquier actividad sospechosa.

14. Notificación de una vulnerabilidad

Si descubre una vulnerabilidad de seguridad, escríbanos a [email protected]. Tratamos las notificaciones de forma confidencial. Autorizamos las pruebas de seguridad de buena fe dentro de los límites de la cláusula 10 de la Política de Uso Aceptable, y no presentamos queja ni reclamación contra quien se mantenga dentro de esos límites y nos notifique la vulnerabilidad sin demora.