Seguridad y cumplimiento en HelloForms

Protección de datos

Tú eres el responsable de las respuestas que recogen tus formularios; nosotros solo las tratamos para prestar el servicio siguiendo tus instrucciones.

• · Nuestro Acuerdo de Tratamiento de Datos estándar se aplica automáticamente a cada cuenta, sin necesidad de firma.
• · Ubicación de los datos: Unión Europea — AWS eu-north-1 (Estocolmo). La base de datos, la autenticación y los archivos subidos están en esa región.
• · Las transferencias fuera del EEE o el Reino Unido se amparan en las Cláusulas Contractuales Tipo de la UE o en el Addendum británico de transferencia internacional.
• · Nunca usamos los datos de tus respuestas para entrenar modelos ni para publicidad segmentada.

Prácticas de seguridad

Estos son los controles que ya están implementados en el producto, no una hoja de ruta.

• · Seguridad a nivel de fila en todas las tablas con datos de cuenta: ningún espacio de trabajo puede leer los registros de otro.
• · Los roles viven en una tabla privilegiada aparte y se comprueban en el servidor, nunca en el navegador.
• · Credenciales solo de servidor: la clave privilegiada de la base de datos existe únicamente en funciones de servidor y nunca llega al cliente.
• · Un análisis de seguridad automático se ejecuta cada noche sobre la configuración de la base de datos; los hallazgos nuevos y resueltos se envían por correo al operador.
• · Las acciones administrativas quedan registradas en auditoría y analizamos las dependencias instaladas.

Disponibilidad

La misma cifra de los últimos 30 días que muestra la página de inicio, medida por nuestras propias sondas.

• · El estado en vivo, el historial de incidencias y la cronología de 30 días están en la página de estado.
• · La disponibilidad se trunca, nunca se redondea al alza. Si no podemos leer el registro de sondas, no mostramos ninguna cifra en lugar de inventarla.

Pagos

Los datos de la tarjeta los gestiona íntegramente el proveedor de pagos.

• · La facturación de suscripciones usa Stripe Checkout; los números de tarjeta nunca pasan por nuestros servidores ni por nuestra base de datos.
• · Los pagos de formularios usan la pasarela que conectes. Guardamos la referencia y el estado del pago, no el medio de pago.

Copias de seguridad y exportaciones

Tus datos son portables en cualquier momento.

• · La plataforma respalda automáticamente la base de datos gestionada según su propia rotación.
• · Las respuestas se exportan a CSV o JSON desde la bandeja de entrada, y los formularios a JSON, sin abrir ningún ticket.
• · Las respuestas eliminadas permanecen 30 días en la papelera antes de borrarse, así que un borrado accidental es recuperable.

Subencargados

Los proveedores en los que nos apoyamos para operar el servicio.

Supabase

Base de datos Postgres gestionada, autenticación y almacenamiento de archivos (región de la UE).

Cloudflare

Alojamiento de la aplicación, CDN y protección contra DDoS.

Resend

Envío de correos transaccionales, notificaciones y recordatorios.

Stripe

Facturación de suscripciones y procesamiento de tarjetas. Los datos de la tarjeta nunca llegan a nuestros servidores.

Google

Inicio de sesión con Google opcional y, si los activas, reCAPTCHA y la entrega a Google Drive/Sheets.

Cómo informar de una vulnerabilidad

Los informes de seguridad los lee una persona y siempre se responden.

• · Escribe a hello@helloforms.net con la URL afectada, los pasos para reproducirlo y a qué pudiste acceder.
• · Intentamos confirmar la recepción en un día laborable y te avisamos cuando el problema esté corregido.
• · Por favor, no hagas pruebas de carga, no intentes acceder a datos de otras cuentas y no publiques detalles antes de que respondamos.