Seguridad y notificación de vulnerabilidades
Cómo protege CaliMoney tu cuenta y cómo informar de una vulnerabilidad de seguridad
Cómo se protegen tus datos
- En tránsito: cada conexión con CaliMoney y con Firebase usa HTTPS (TLS).
- En reposo: los datos se guardan en Google Cloud Firestore en la UE (
europe-west8), cifrados en reposo por Google. Con el cifrado de extremo a extremo activado, los detalles de tus movimientos también se cifran en tu dispositivo con una clave que solo tienes tú. - Control de acceso: las reglas de seguridad de Firestore permiten a cada cuenta leer y escribir solo sus propios documentos. Los registros solo de servidor (límites de frecuencia, tokens de recuperación, registros de notificaciones, comentarios) no puede leerlos ningún cliente.
- Protección de la cuenta: autenticación en dos pasos opcional (TOTP), límites de frecuencia en los puntos sensibles y bloqueo automático tras 15 minutos de inactividad con el cifrado activado. El desbloqueo biométrico opcional mantiene la clave sellada en el dispositivo bajo una llave de acceso que necesita tu cara, tu huella o tu PIN.
- Funciones de IA: las peticiones a los proveedores de IA usan retención de datos cero: las instrucciones y respuestas no se guardan ni se usan para entrenar.
- Actualizaciones: CaliMoney es una app web. Las correcciones de seguridad llegan a todos los usuarios con la siguiente carga de página, sin instalar nada; las dependencias se auditan automáticamente en cada cambio.
Informar de una vulnerabilidad
Si crees haber encontrado una vulnerabilidad de seguridad, escribe a support@calimoney.it con el asunto "Security" e incluye:
- una descripción del problema y su impacto,
- los pasos para reproducirlo (URL, peticiones, capturas),
- si crees que se está explotando activamente.
Qué esperar:
- un acuse de recibo en 5 días hábiles;
- novedades mientras investigamos y corregimos;
- reconocimiento en el anuncio de la corrección, si lo deseas.
Prueba solo con tu propia cuenta, no accedas ni modifiques datos de otros usuarios, evita degradar el servicio y danos un plazo razonable para corregir el problema antes de hacerlo público. No emprenderemos acciones contra una investigación de buena fe que siga estas reglas.
El archivo de contacto legible por máquina está publicado en /.well-known/security.txt.
Si algo sale mal
Si una violación de datos personales puede poner en riesgo tus derechos, lo notificaremos a la Autoridad italiana de protección de datos (Garante) en un plazo de 72 horas e informaremos a los usuarios afectados sin demora indebida, como exige el RGPD (artículos 33–34).