Resumen
- Todos los datos cifrados en reposo (AES-256) y en tránsito (TLS 1.2+)
- Infraestructura alojada en la UE [TODO: confirm region — AWS Frankfurt, OVHcloud, or equivalent]
- Ningún dato de salud se usa para publicidad, entrenamiento de modelos de propósito general o venta a terceros
- Borrado automático de la cuenta 90 días después de terminar la suscripción
- Notificación de brechas en 72 horas conforme al artículo 33 del RGPD
Autenticación
La autenticación de TrainPlan se delega en Apple ID y Google. No guardamos nunca tu contraseña. No tocamos nunca tu tarjeta de pago: lo hacen Apple y Google.
Cifrado de datos
Los datos de entrenamiento, el historial de plan y los detalles del perfil se cifran en reposo con AES-256 usando claves gestionadas por [TODO: KMS provider — typically AWS KMS or GCP KMS]. En tránsito, todo el tráfico usa TLS 1.2 o superior; las versiones anteriores se rechazan en el balanceador de carga.
Controles de acceso
El acceso a producción está limitado al equipo de ingeniería y protegido con 2FA por llave de hardware. Los accesos a producción se registran y se revisan cada semana. Ningún ingeniero tiene acceso directo y persistente a la base de datos.
Servicios de terceros (subencargados)
[TODO: complete table — each row should list the sub-processor, the data category they process, their hosting region, and a link to their DPA. Update this list with material version bumps.]
Copias de seguridad y recuperación
Los backups cifrados de los datos de producción se hacen a diario y se conservan durante [TODO: 30 days or per your policy]. Los playbooks de recuperación se prueban cada trimestre. Las claves de cifrado de backup se rotan cada año.
Divulgación de vulnerabilidades
Si has encontrado un problema de seguridad, escribe a security@trainplan.app. Respondemos en menos de dos días laborables, divulgamos de forma responsable con un plazo de 90 días y reconocemos a quien reporta en nuestro changelog, salvo que prefieras lo contrario.
Certificaciones
[TODO: list any certifications. SOC 2 Type II, ISO 27001, or similar if applicable. If none yet, a «planned for [quarter]» line is better than silence.]
Preguntas
Preguntas de seguridad: security@trainplan.app. Preguntas sobre el tratamiento de datos: privacy@trainplan.app.