1. Cómo protegemos los datos
- Conexiones cifradas: todo el sitio funciona sólo sobre HTTPS (TLS 1.2 o superior) con HSTS.
- Aislamiento entre negocios: cada negocio sólo puede leer y modificar sus propios datos. Lo exige la propia base de datos con políticas de seguridad por fila, además de los controles de la aplicación.
- Credenciales cifradas: las llaves de Transbank, MercadoPago y Flow, y los accesos a calendarios externos, se guardan cifrados con AES-256-GCM en la aplicación, aparte del cifrado en reposo del proveedor de base de datos.
- Pagos: no almacenamos números de tarjeta. Los pagos los procesan directamente Transbank, MercadoPago o Flow.
- Archivos de clientes: se guardan en un almacenamiento privado y sólo se abren con enlaces firmados de corta duración.
- Datos personales: el tratamiento se describe en nuestra Política de Privacidad, conforme a la Ley N° 19.628 y la Ley N° 21.719.
2. Reportar una vulnerabilidad
Si encuentras un problema de seguridad en Quiero Agendar, escríbenos a seguridad@quieroagendar.cl. Incluye una descripción del problema, los pasos para reproducirlo y el impacto que crees que tiene. Puedes escribir en español o en inglés.
Te confirmaremos la recepción dentro de 5 días hábiles y te mantendremos al tanto mientras lo investigamos y corregimos.
3. Alcance
Cubre quieroagendar.cl y www.quieroagendar.cl, incluidas las páginas de reserva, el widget embebido y el panel de los negocios. No cubre los servicios de terceros que usamos (Supabase, Vercel, Transbank, MercadoPago, Flow, Google): repórtalos directamente a ellos.
4. Reglas para investigar
- Usa sólo cuentas y negocios de prueba que tú mismo crees.
- No accedas, modifiques ni borres datos de otros negocios o de sus clientes. Si llegas a verlos por accidente, detente y avísanos.
- No hagas pruebas de denegación de servicio, spam, ingeniería social ni ataques físicos.
- No realices pagos reales ni uses medios de pago de terceros.
- Danos un plazo razonable para corregir el problema antes de hacerlo público.
5. Nuestro compromiso
Si investigas de buena fe y respetas estas reglas, no iniciaremos acciones legales en tu contra por esa investigación. Por ahora no tenemos un programa de recompensas, pero con gusto reconoceremos tu aporte si así lo quieres.
Esta política también está publicada en formato estándar en /.well-known/security.txt.