Lo que ya existe y lo que todavía no
Solo controles que existen en nuestro código o en nuestros servidores. Si algo aún no está hecho, esta página lo dice.
En qué punto estamos
Ninguna app de Caravel está en producción. Funcionan en servidores de prueba, con una tienda de desarrollo. Por eso los controles de abajo aún no han protegido datos de clientes reales y no hay cifra de disponibilidad que mostrar: tendríamos que inventarla.
Los controles de aplicación de abajo se aplican a cuatro apps, las que tratan más datos personales: Caravel Invoice PT, Caravel Track, Caravel Reviews y Caravel Packing Slips. Las otras siete apps aún no están cubiertas por esta revisión ni por el acuerdo de tratamiento de datos: no tienen cifrado por campo ni registro de accesos, y las sesiones de instalación (el token de acceso de la tienda y los datos del empleado que facilita Shopify) aún no están cifradas.
| Control | Cómo funciona | Estado |
|---|---|---|
| Proteger los datos | ||
| Cifrado en reposo, campo a campo | AES-256-GCM en los datos personales guardados y en las sesiones. Admite rotación de claves. Las pruebas comprueban que la base solo guarda texto cifrado. Límite: Los campos cifrados no sirven para buscar; las apps buscan por hash. | En el código |
| Cifrado en tránsito | Conexiones externas en HTTPS/TLS y SMTP solo con TLS. Las apps solo escuchan en la dirección local, detrás de HTTPS. | En el código |
| Guardar menos | Invoice PT no guarda nombre, NIF, dirección ni correo del comprador. Packing Slips no guarda datos de compradores, solo la sesión cifrada de la tienda. Track guarda el correo solo como hash con clave (HMAC). | En el código |
| Borrado automático | Envíos de Track a los 90 días, contactos de Reviews a los 90 días, exportaciones a los 30 días y datos de Invoice PT 30 días tras desinstalar. Los webhooks de privacidad de Shopify borran o anonimizan a petición. | En el código |
| Copias de seguridad | ||
| Copias cifradas en otro país | Cifradas en el servidor de origen antes de salir, programadas cada día hacia un servidor en otro país. Se guardan 14 copias diarias y 4 semanales. Límite: Aún no hay alerta automática si una copia falla. | En funcionamiento |
| Pruebas de restauración | Una prueba de restauración automática semanal comprueba cada base. Último resultado: 30 de octubre de 2026, 9 bases, OK. Son las bases de las apps instaladas en el servidor de prueba. | En funcionamiento |
| Accesos y registros | ||
| Registro de accesos | Registra quién abrió qué página del panel y cuándo, sin contenido. Se guarda 365 días y se borra con la tienda. Límite: Registra páginas, no cada campo mostrado. | En el código |
| Acceso a los servidores | SSH solo con clave, cortafuegos activo y bases sin exposición a la red. | En funcionamiento |
| Registros sin datos personales | Correos, teléfonos, direcciones, nombres, NIF y tokens se retiran de los registros de la aplicación. | En el código |
| Origen verificado | Los webhooks y las peticiones del proxy de la tienda se comprueban con la firma de Shopify (HMAC). | En el código |
| Cuando algo va mal | ||
| Respuesta a incidentes | Política escrita: Shopify y comerciante en 24 horas, autoridad portuguesa de protección de datos (CNPD) en 72 horas cuando somos responsables, con registro y revisión. | Adoptado |
| Acuerdo de tratamiento de datos | Un acuerdo de tratamiento de datos (art. 28 del RGPD) cubre las cuatro apps de arriba. | Adoptado |
| Servidores de producción en la UE | El alojamiento de producción aún no está elegido. Los servidores de prueba están en el Reino Unido y las copias en Francia. Cuando cambie, se actualiza el Anexo III del acuerdo. | Antes del lanzamiento |
Comprobaciones automáticas del código
El 30 oct. 2026: 405 de 407 comprobaciones automáticas de seguridad se ejecutaron sin hallazgos en las apps de Shopify medidas, y los dos plugins de WordPress pasaron Plugin Check sin errores ni avisos. Las demás comprobaciones y el detalle están en «Cómo probamos».
Este sitio
- Sin cookies, sin estadísticas y sin rastreadores de publicidad.
- Sin scripts, tipos de letra ni imágenes de otras empresas: el navegador solo puede cargar desde este sitio.
- Un formulario de contacto que no nos envía nada: solo abre tu programa de correo.
Lee los documentos
- Acuerdo de tratamiento de datos Las empresas que tratan datos por nuestra cuenta están en el Anexo III del acuerdo de tratamiento de datos.
- Política de privacidad
¿Has encontrado un problema?
Escribe a caravel@caravelsuite.com con los detalles. No incluyas datos de clientes. El contacto de seguridad está publicado en /.well-known/security.txt.