Seguridad en Fuxelia Flow

Tu ingreso y tu sesión

• Sin contraseñas. La primera vez que entrás desde un dispositivo, lo hacés con tu correo y un código de 6 dígitos que te llega por mail. La plataforma no usa contraseñas y no guarda ninguna.
• El código de ingreso es de un solo uso, vence a los 10 minutos y se puede probar hasta 3 veces. En la base de datos no queda el código: queda solo una huella (hash) que sirve para comprobarlo.
• La sesión usa una cookie protegida (HttpOnly, Secure y SameSite=Strict): el código de la página no puede leerla y el navegador no la manda desde otros sitios. Dura hasta 7 días.
• El identificador de tu sesión no se guarda en la base de datos: se guarda solo su huella (hash). Quien viera una copia de la base no podría usar tus sesiones.
• Dispositivo recordado (opcional). Al entrar podés dejar marcada la opción «Recordar este dispositivo durante 30 días». En ese celular o esa computadora, durante 30 días, entrás sin el código por mail: con tu correo y tu segundo paso (app autenticadora o huella). El dispositivo queda recordado con una cookie protegida (HttpOnly, Secure y SameSite=Strict); en la base de datos se guarda solo su huella (hash), el tipo de dispositivo («Chrome en Windows») y las fechas. Pasados los 30 días, se vuelve a pedir el código por mail. Podés ver y olvidar tus dispositivos recordados desde tu perfil, en «Seguridad». No la marques en una computadora compartida.
• Protección contra pedidos falsificados. Además de la cookie, todo pedido que cambia datos exige un encabezado de seguridad propio de la plataforma.

Verificación en dos pasos

Es obligatoria para todas las cuentas. Al entrar, además del código por mail (o, en un dispositivo recordado, en su lugar), confirmás con una de estas formas (la activás en tu primer ingreso y la cambiás desde tu perfil, en «Seguridad»):

• una app autenticadora (por ejemplo Google Authenticator), con un código de 6 dígitos que cambia cada 30 segundos; un mismo código no se puede usar dos veces;
• la huella o Face ID de tu dispositivo (WebAuthn). La huella nunca llega a nuestros servidores: el dispositivo solo confirma que sos vos;
• códigos de respaldo de un solo uso, para cuando no tenés a mano tu dispositivo.

Mientras el segundo paso está pendiente, el servidor bloquea todo lo demás (no es solo una pantalla). Después de 5 intentos fallidos se cierra la sesión y hay que volver a empezar.

Si perdés el celular y no tenés tus códigos de respaldo, el Administrador General puede reiniciar tu segundo paso. Cuando lo hace, se cierran tus sesiones, se olvidan tus dispositivos recordados, queda anotado en el registro de actividad y te llega un aviso por mail. Lo mismo pasa con tus dispositivos recordados si cambiás tu segundo paso.

Cada organización, separada de las demás

• Los datos de cada organización están separados. Cada pedido se filtra por la organización de tu sesión; la plataforma nunca toma esa organización de lo que manda el navegador.
• Los permisos los hace cumplir el servidor, no solo la pantalla: roles (Administrador General, Administrador Zonal, Usuario Operador), zonas, tableros asignados y «solo ver lo que me asignen». Una tarjeta de otra zona o de otra organización responde como si no existiera.
• Lo probamos con pruebas automáticas de acceso cruzado entre organizaciones, zonas y roles, que corremos antes de publicar los cambios.

Datos sensibles guardados cifrados

• Los permisos de conexión con Google (Calendar y Drive, y Gmail si lo conectás), el secreto de tu app autenticadora y, para la firma con código, la clave de la app autenticadora de tus clientes y su mail mientras la firma está pendiente se guardan cifrados con AES-256-GCM, con una clave que no está en la base de datos sino en los secretos del servicio de alojamiento: una copia de la base sola no alcanza para usarlos.
• El enlace y el código de la página de seguimiento para tus clientes se guardan como huella (hash), para comprobarlos, y cifrados con AES-256-GCM, para poder mostrártelos de nuevo en la tarjeta.
• Podés desconectar tu cuenta de Google cuando quieras desde el menú del perfil, en «Mis datos y accesos»: se borra el permiso guardado y se le avisa a Google que lo revoque.
• Kit de trabajo: del Google Drive, Fuxelia Flow solo puede abrir los archivos que el Administrador General elige con el selector de Google; el resto del Drive no lo ve. El contenido se lee en el momento en que alguien del equipo con permiso lo abre, viaja cifrado y no se guarda: Fuxelia conserva solo el nombre del archivo, su identificador en Google y quién lo puede ver.
• Fuxelia Flow no recibe ni guarda los datos completos de tu tarjeta: el cobro lo hacen Mercado Pago y PayPal.

La conexión y el navegador

• La conexión viaja cifrada (HTTPS) y le indicamos al navegador que use siempre HTTPS con esta página durante un año (HSTS).
• La página no se puede abrir dentro de otra (se evita que alguien la disfrace con un marco), una política de seguridad de contenido limita desde dónde se cargan scripts, estilos, tipografías y conexiones, y le indicamos al navegador que no dé acceso a la cámara, al micrófono ni a la ubicación.
• Los archivos internos del proyecto (configuración, base de datos, respaldos) no se publican: el sitio solo entrega una lista cerrada de archivos, y cualquier función nueva del servidor nace privada.

Registros, copia de tus datos y baja

• Registro de actividad: quién hizo qué dentro de la organización (altas, eliminaciones, cambios del equipo, firmas, plazos confirmados, exportaciones…). Los administradores lo ven; no se puede editar.
• Registro de accesos (todos los planes): cuándo entró cada persona y los intentos que no salieron bien, con un tipo de dispositivo genérico («Chrome en Windows»). Cada persona ve los suyos y el Administrador General ve los del equipo. Este registro no guarda la dirección IP y se conserva 365 días.
• Copia de tus datos: el Administrador General puede descargar los datos de su organización, sección por sección, en CSV o JSON, desde «Mis datos y accesos». Nunca incluye contraseñas ni claves. Cada descarga queda registrada.
• Baja y eliminación: al dar de baja la suscripción podés pedir que se eliminen todos los datos de tu organización escribiendo a legalfuxelia@gmail.com: se eliminan dentro de los 5 días hábiles, salvo lo que la ley obligue a conservar. El detalle está en la Política de privacidad.

Protección contra abusos

• El pedido de códigos, el ingreso, el segundo paso y las acciones sensibles tienen topes de intentos por persona y por período. Para frenar abusos del ingreso, esos contadores usan la dirección IP del dispositivo y se borran solos a los 7 días.
• La página de seguimiento para tus clientes pide un código de 6 números y tiene topes de intentos (10 por enlace y 30 por dirección IP por hora). No aparece en buscadores y nunca muestra documentos, notas, plazos ni montos.
• Los avisos automáticos de vencimiento los pide una tarea programada que se identifica con una clave propia, guardada solo en los secretos del servicio: sin esa clave nadie puede hacer que la plataforma mande avisos. Los avisos al celular viajan cifrados de punta a punta (estándar Web Push), así que el servicio de notificaciones del navegador no puede leerlos.
• La inteligencia artificial (Gemini, de Google) se usa solo en el chat de ayuda y en «Escribir con IA» de la Mensajería, y recibe lo que escribís ahí (en «Escribir con IA», la idea del mensaje, sin el nombre del cliente) y, en el chat, tu rol, el rubro y el plan. Usa la versión gratuita de Google, así que no escribas datos personales ni sensibles, y no está disponible desde Europa. No recorre el resto de tu cuenta, y las dos tienen topes de uso por persona y por organización.

Cómo avisarnos de un problema

Si encontrás una falla de seguridad, escribinos a legalfuxelia@gmail.com con el asunto «Seguridad», contando qué viste y cómo reproducirlo. Pedimos que no accedas a datos de otras personas ni los copies para probarlo. Respondemos y, si corresponde, corregimos y avisamos.