Centro de Seguridad y Confianza
Qué hacemos para proteger la integridad y el acceso y, con la misma claridad, qué no afirmamos.
Seguridad de infraestructura
TLS en tránsito, cifrado a nivel de aplicación para secretos y archivos de consentimiento, separación de datos por tenant y base de datos de tenant vinculada a una región. El cifrado a nivel de disco depende de la configuración del alojamiento.
Integridad criptográfica
JSON canónico (claves ordenadas), hashes de prueba SHA-256, sellos de tiempo RFC 3161 de la autoridad configurada y agrupación mediante árbol de Merkle: todo verificable sin HashEntry.
Control de acceso e identidad
Control de acceso basado en roles (RBAC), autenticación de dos factores (2FA) y claves de API con alcance limitado.
Operaciones y transparencia
Registro de auditoría de las acciones del panel, limitación de solicitudes y métricas del servicio. HashEntry no cuenta actualmente con certificación ISO 27001 ni SOC 2, ni con un informe de pruebas de penetración publicado.
Minimización de datos
Los registros de consentimiento contienen datos personales: una dirección IP (enmascarada por defecto; puede elegir completa, enmascarada, con hash o ninguna), el user agent completo, el identificador de visitante que proporciona su sitio y, solo si lo activa, un hash con sal de la huella del dispositivo. Las autoridades de sellado de tiempo reciben únicamente el resumen SHA-256.
Subencargados y proveedores de servicios
Categorías de proveedores presentes en el producto, qué reciben y dónde. Los proveedores solo intervienen cuando la función correspondiente está activada. Los datos entre corchetes se concretan en la puesta en producción; la lista vinculante es el anexo de subencargados del Acuerdo de Tratamiento de Datos.
| Subencargado / Servicio | Categoría | Jurisdicción / Región | Datos compartidos / finalidad |
|---|---|---|---|
| [Proveedor de alojamiento] | Alojamiento (aplicación y base de datos) | [TR / UE — según región] | Todos los datos de la plataforma. Solo la base de datos del tenant está vinculada a una región; las colas, los registros y los metadatos se procesan en la plataforma. |
| Cloudflare | Alojamiento estático / CDN | Red global de borde | Sirve los archivos del sitio web, el panel y el SDK; recibe la IP del visitante y metadatos de la solicitud. Los registros de consentimiento no se almacenan allí. |
| OpenRouter, OpenAI, DeepL · Ollama (autoalojado) | IA (traducción, asistente, chat) | [EE. UU. / UE — según proveedor] | Contenido de documentos y texto de chat del cliente, solo cuando se usan las funciones de IA. No se envían registros de consentimiento de usuarios finales. |
| iyzico, PayTR, Param, Sipay, TPV virtual bancario | Pasarelas de pago | Turquía | Datos de facturación y pago de los clientes; los datos de tarjeta los trata directamente la pasarela. |
| Paddle, Lemon Squeezy | Comerciante registrado (merchant of record) | [EE. UU. / UE / Reino Unido] | Datos de facturación y pago; estos proveedores actúan como responsables independientes para los pagos. |
| Paraşüt | Facturación electrónica | Turquía | Datos de identidad, fiscales y de dirección de los clientes facturados. |
| Proveedor RFC 3161 configurado | Sellado de tiempo (TSA) | Según el proveedor | Solo el resumen SHA-256, sin datos personales. El peso jurídico depende del proveedor y de la jurisdicción. |
| PostHog (UE) | Analítica del panel (si está activada) | Unión Europea | Eventos de uso de los usuarios del panel. |
| [Proveedor de correo — aún no seleccionado] | Envío de correo electrónico | [Por completar] | Dirección del destinatario y contenido del mensaje. |
| MaxMind (base de datos local) | GeoIP | Local — no se envían datos | La consulta de país se ejecuta localmente; se indica por transparencia. |
Divulgación responsable de vulnerabilidades (security.txt)
HashEntry implementa el estándar RFC 9116 para la notificación ética de vulnerabilidades.
Refuerce hoy su evidencia de cumplimiento
Comienza con el plan gratuito. No se requiere tarjeta de crédito.