En resumen. Astrolium cifra cada byte de sus datos en reposo con AES-256 y en tránsito con TLS 1.3. Las contraseñas se hashean con Argon2id y jamás se almacenan en texto claro. La autenticación de dos factores está disponible en todos los planes, incluido el gratuito. Los servidores están en Fráncfort con réplica en Dublín. No entrenamos modelos de IA con sus cartas. Consulte la política de privacidad para saber qué datos recopilamos, los términos de servicio para el marco legal, y la página de estado para el tiempo de actividad en tiempo real.
1. Cifrado
- En reposo — Todos los datos de clientes están cifrados a nivel de volumen con AES-256. Las copias de seguridad de la base de datos se cifran de forma independiente con claves separadas, que se rotan cada 90 días.
- En tránsito — Cada conexión a Astrolium utiliza TLS 1.3 con precarga HSTS. No aceptamos TLS 1.0 ni 1.1, y TLS 1.2 queda rechazado para nuevas sesiones desde enero de 2026.
- Copias de seguridad — Copias diarias cifradas, conservadas durante 30 días, almacenadas en una región separada (Dublín) de la principal (Fráncfort). Transcurridos 30 días se eliminan de forma permanente y verificable.
2. Autenticación
- Contraseñas — Se hashean con Argon2id configurado al coste recomendado por OWASP (memoria: 64 MiB, iteraciones: 3, paralelismo: 4). Nunca vemos su contraseña en texto claro, ni tampoco nuestra base de datos. Si se filtrara el volcado de la tabla de usuarios, solo contendría hashes.
- Autenticación de dos factores — Disponible en todos los niveles: Free, Pro, Adept y Master. Admitimos aplicaciones TOTP (Authy, 1Password, Google Authenticator) y llaves de seguridad por hardware (WebAuthn).
- Cookies de sesión — HttpOnly, Secure, SameSite=Lax, y se rotan en cada cambio de privilegios. Las sesiones expiran tras 30 días de inactividad.
- SSO (Google Workspace, Microsoft 365, Okta) disponible en el nivel Master.
3. Infraestructura
- El frontend de marketing y el runtime edge se alojan en Vercel. El backend del producto y todos los datos de clientes corren en Hetzner Cloud dentro de la UE, en 2 regiones (Fráncfort como primaria, Dublín como réplica).
- La aplicación está protegida por Cloudflare contra ataques DDoS y para caché CDN de activos estáticos únicamente; ningún cuerpo de petición se almacena en el edge de Cloudflare.
- El servicio de efemérides opera en contenedores de 1 vCPU con 2 réplicas por región. Consulte la entrada del blog sobre el servicio de efemérides para los detalles técnicos.
- El objetivo es un 99,9 % de disponibilidad; el valor real de abril de 2026 fue del 99,96 %. El estado en tiempo real está disponible en la página de estado.
4. Cumplimiento normativo
- RGPD — Astrolium aplica protecciones equivalentes al RGPD a nivel global, porque es más sencillo y porque creemos que es lo correcto. Lea la política de privacidad para conocer sus derechos y cómo ejercerlos.
- SOC 2 Type II — Auditoría en curso; fecha de atestación prevista en el T3 de 2026. Actualizaciones en la hoja de ruta.
- Prueba de penetración — Prueba de penetración anual por terceros. El informe de 2026 se resume más abajo; el informe completo está disponible bajo NDA previa solicitud a clientes enterprise.
- Subprocesadores — Solo subprocesadores nominados: Vercel (alojamiento del frontend), Hetzner (alojamiento del backend y datos, UE), Stripe (pagos), Postmark (correo transaccional), OpenRouter (inferencia de IA, modelos Google Gemini) y Cloudflare (CDN/DNS). No incorporamos ningún subprocesador sin actualizar antes la política de privacidad.
5. Comunicación de vulnerabilidades
¿Encontró un problema de seguridad? Escríbanos a [email protected]. Respondemos en 24 horas, acusamos recibo en 72 horas y nos comprometemos a publicar correcciones en 7 días para vulnerabilidades de severidad alta.
No gestionamos un programa de bug bounty y no ofrecemos recompensas económicas por los reportes. No tomaremos acciones legales contra investigadores que actúen de buena fe y sigan los principios estándar de divulgación responsable.
6. Propiedad y portabilidad de los datos
Sus datos le pertenecen. Desde la configuración de su cuenta puede:
- Exportar todo su espacio de trabajo en un único archivo JSON. Abarca 14 dominios de información: perfil, clientes, sesiones, registros de carta, etiquetas, carpetas y sus asignaciones, configuraciones guardadas, Base de Conocimiento, plantillas y documentos de Report Studio, perfiles de marca, formularios de admisión y sus envíos, cartas horarias guardadas, conversaciones con la IA y reglas de alerta de tránsitos. Lo consideramos una exportación conforme al Artículo 15 del RGPD (derecho de acceso), más amplia que el derecho de portabilidad del Artículo 20: incluye material que hemos derivado, no solo lo que usted escribió. Algunos dominios secundarios aún no están en el archivo, y la pantalla de exportación los nombra en vez de dejar que usted descubra el vacío.
- Exportar cartas individuales en PDF o PNG con metadatos
- Eliminar su cuenta. Los datos se purgan del almacén principal en 7 días y de las copias de seguridad en 30, según el calendario de la política de privacidad. La eliminación se ejecuta como una secuencia ordenada que falla de forma segura y puede reintentarse: confirma que la suscripción de Stripe ha terminado, desvincula cualquier dominio personalizado de enlaces compartidos, revoca los permisos de Google Calendar y Drive, borra los archivos almacenados y sus secretos BYOK, y solo entonces elimina la identidad de la cuenta.
- Corregir cualquier dato que Astrolium conserve sobre usted
Astrolium no le retiene. El formato de exportación está documentado y es legible por humanos.
7. Inteligencia artificial y aprendizaje automático
Astrolium no entrena modelos de IA con sus cartas, su listado de clientes, sus notas ni sus interpretaciones. Las funciones asistidas por IA usan modelos Google Gemini a través de OpenRouter, que únicamente recibe la carta con la que trabaja en ese momento, a efectos de inferencia. Sus datos de carta nunca se usan para entrenar ningún modelo. La inferencia no guarda estado en el proveedor: sin registros, sin caché de entradas, sin entrenamiento.
La memoria la guardamos nosotros, y la borra usted. Sky, el asistente del producto, mantiene dos memorias separadas: la Memoria de Cliente, los hechos que ha aprendido sobre un cliente determinado, y la Memoria de Práctica, sus propios métodos y preferencias de trabajo. Ambas las almacena Astrolium, no solo la ventana de contexto de un proveedor. Usted elige si Sky guarda automáticamente, pregunta primero, o nunca guarda, y puede leer, editar o eliminar cualquier entrada desde Ajustes y desde la ficha del cliente. Desactivar la memoria detiene la lectura y la escritura; las entradas existentes permanecen hasta que usted las elimine.
Adept y Master pueden ejecutar la IA con su propia clave de proveedor, de OpenAI, Anthropic u OpenRouter. Las claves se guardan en un almacén de secretos cifrado (Supabase Vault), nunca se devuelven al navegador, y se eliminan cuando borra su cuenta.
Barreras que no se pueden desactivar hablando. Algunos límites sobre lo que el asistente puede decir se aplican en el servidor en cada solicitud, y la configuración del espacio de trabajo puede añadir cautela, pero nunca eliminarla:
- No predice la muerte de una persona ni ningún desenlace fatal cierto e inevitable, y las preguntas dirigidas a eso («¿voy a morir?») reciben la misma respuesta.
- Cualquier cosa que toque el suicidio o la autolesión recibe una respuesta de apoyo que remite a ayuda local o de emergencia urgente, y ahí se detiene la lectura predictiva.
- Los temas médicos, legales, financieros, de embarazo y de fertilidad siguen disponibles, pero se enmarcan explícitamente como juicio astrológico, nunca como instrucción clínica, legal o financiera.
- Solo usa los datos de cliente que usted proporcionó. No inventa, solicita ni revela un nombre, un dato de contacto o un hecho que usted nunca le dio.
Dos negativas adicionales están publicadas dentro de la app como comportamiento previsto y todavía no se aplican: leer la carta de un tercero que no ha dado su consentimiento, y leer la carta de una figura pública identificada. La app las etiqueta así, y nosotros también. Esta página cambiará cuando se implementen.
Si trabaja con el traductor integrado de su navegador sobre la interfaz en inglés o en ruso, el espacio de trabajo se mantiene estable: hemos reforzado la app contra la reescritura del DOM que inyectan los traductores del navegador, y lo verificamos con pruebas.
8. Incidentes pasados
La página de estado lista todos los incidentes de los últimos 90 días con un postmortem para cualquier interrupción superior a 30 minutos. A la fecha de esta página, ningún incidente ha implicado acceso no autorizado a datos de usuarios. Si alguna vez ocurriera, publicaremos el postmortem aquí y enviaremos un correo a cada usuario afectado en un plazo de 72 horas desde el descubrimiento, dentro del plazo de notificación de brechas del RGPD.
Para nuestra postura de ingeniería general, consulte la entrada sobre el servicio de efemérides. Para el marco legal, vea privacidad y términos. Para el tiempo de actividad, consulte estado. Para cualquier otra cuestión, [email protected].