Seguridad

Cifrado en tránsito

Todo el tráfico entre el sitio web y el panel y el backend en la nube se cifra mediante HTTPS/TLS. Datos como la información de la cuenta, las plantillas de tour y las estadísticas no se envían en texto plano por la red.

DURANTE un tour, el sistema está offline por diseño. El teléfono de la guía actúa como servidor en la red WiFi local; los participantes escanean un código QR y se conectan a través de la red local usando http/ws. Ese tráfico permanece en la red local y no llega a Internet. El audio y las interacciones de los participantes permanecen en la red local en la que se ejecuta el tour, por lo que los datos del tour se guardan en tus dispositivos y dentro de la red local de forma predeterminada. La única excepción es la traducción en vivo, que la guía activa explícitamente: mientras está activa, la propia voz de la guía se transmite a nuestro backend y a Google Gemini para traducción en tiempo real.

Autenticación

Las sesiones del panel se gestionan con un token de acceso de corta duración y un token de renovación de mayor duración. El token de acceso se guarda en memoria; la sesión se mantiene mediante renovación silenciosa.

Las cuentas disponen de verificación en dos pasos opcional (2FA / TOTP). Al activarla, además de su contraseña, inicia sesión con un código de un solo uso de su aplicación de autenticación.

Control de acceso y permisos basados en roles

Las cuentas de empresa (organización) usan autorización basada en roles. Los roles owner, manager y member tienen permisos distintos; un usuario solo accede a los datos y operaciones que su rol permite.

La invitación, el cambio de rol y la gestión de miembros los realizan los roles autorizados. Así, los datos y las estadísticas de la empresa quedan accesibles únicamente para las personas autorizadas.

Minimización de datos y sin seguimiento de terceros

Solo recopilamos los datos necesarios para prestar el servicio. Evitamos pedir más datos de los necesarios y limitamos los datos que recopilamos a fines específicos.

El sitio no ejecuta seguimiento ni analítica de terceros. Su navegador almacena un token de autenticación estrictamente necesario (localStorage: dw_refresh) y la medición de canales propios (dw_attr_first, dw_attr_last) utilizada para medir qué canal generó un registro. No existen identificadores de clics en anuncios, píxeles publicitarios de terceros, huellas digitales ni rastreadores entre sitios.

Los controles sobre su cuenta

Puede cambiar su contraseña desde el panel en cualquier momento.

Al cerrar la sesión en todos los dispositivos puede finalizar todas las sesiones activas en una sola operación; esto resulta útil si pierde su dispositivo o ante cualquier situación sospechosa.

Puede eliminar su cuenta desde el panel. También puede solicitar la exportación de una copia de sus datos.

Notificación de vulnerabilidad de seguridad

Si detecta una vulnerabilidad de seguridad o una situación sospechosa, comuníquenos los detalles a contact@firstpoint.com.tr. Evaluaremos su notificación y le responderemos en un plazo razonable.

Esperamos que los investigadores de buena fe colaboren con nosotros bajo el principio de divulgación responsable (responsible disclosure): contáctenos antes de publicar el hallazgo y concédanos un plazo razonable para corregirlo.

Certificaciones y detalles

Esta página solo describe las medidas que aplicamos hoy; no afirmamos poseer ninguna certificación de la que carezcamos. Las certificaciones de seguridad oficiales y un documento técnico de seguridad (whitepaper) detallado pueden compartirse a petición y su desarrollo está en curso.

Para procesos de evaluación corporativa, compra o cumplimiento, puede contactarnos en contact@firstpoint.com.tr.