Seguridad

Última actualización: octubre de 2026

Esta página explica cómo protegemos los datos de su negocio y la información de sus clientes.

Cifrado de datos

Todos los datos se cifran en tránsito mediante TLS 1.2 o superior. Los datos en reposo, incluidas su base de datos, las copias de seguridad y los archivos subidos, se cifran con AES-256 por parte de nuestros proveedores de infraestructura.

Controles de acceso

FullClass usa un control de acceso por roles que configura el propietario del negocio, así que usted decide exactamente quién de su equipo llega a qué. Los permisos abarcan 20 secciones distintas (reservas, clientes, informes, tarjetas regalo y más), y el propietario también puede proteger campos de datos sensibles, como los datos de contacto del cliente, aparte de las páginas que los contienen.

Son puntos de partida, no ajustes fijos. El propietario concede o revoca cualquier área por rol y puede anular el acceso de un usuario concreto, de modo que cada persona vea solo lo que su trabajo requiere.

Autenticación de dos factores

Todas las cuentas de administrador admiten la autenticación de dos factores (2FA) con cualquier aplicación de autenticación estándar, incluidas Google Authenticator, Authy y 1Password. Recomendamos encarecidamente activar la 2FA en todas las cuentas de propietario y administrador. Puede configurarse en cualquier momento desde los ajustes de su perfil.

Contraseñas

Las contraseñas se cifran con bcrypt antes de almacenarse. Nunca las conservamos en texto plano. Tras cinco intentos fallidos de inicio de sesión, las cuentas se bloquean temporalmente para prevenir ataques de fuerza bruta. Los enlaces de restablecimiento de contraseña caducan a las 24 horas y solo pueden usarse una vez.

Sin contraseña y claves de acceso

Todas las cuentas del equipo, incluida la del propietario, pueden iniciar sesión con una clave de acceso WebAuthn en lugar de una contraseña. Una clave de acceso está vinculada a su dispositivo y se desbloquea con su huella, su cara o el PIN del dispositivo, por lo que es multifactor por naturaleza y resistente al phishing. Cada cuenta puede registrar y gestionar varias claves de acceso.

Pagos

FullClass no almacena números de tarjetas de pago. Los pagos de los clientes los procesan directamente Stripe o Square, ambos validados como proveedores de servicios PCI DSS Level 1. Solo recibimos una referencia tokenizada de las transacciones completadas.

Sus derechos sobre los datos

Para atender solicitudes del RGPD y similares, el propietario del negocio puede exportar los datos de un cliente (su perfil, sus reservas, sus aceptaciones de exención y sus tarjetas regalo) en un archivo legible por máquina, y puede borrar los datos personales de un cliente cuando lo solicite. Ambas acciones están reservadas al propietario.

Lo mismo se aplica a su propia cuenta. El propietario puede descargar en cualquier momento todo lo que guarda el negocio, cada informe en forma de hoja de cálculo, y eliminar la cuenta completa desde los ajustes, sin ponerse en contacto con nosotros. Al eliminarla, la página de reservas se desconecta y la suscripción se cancela de inmediato, y los datos se borran de forma permanente 30 días después. Hasta esa fecha, la eliminación se puede deshacer con un clic, de modo que un clic accidental o unas credenciales robadas no le cuesten al negocio sus registros.

Estudios en la UE, el Reino Unido y Suiza

Nuestro acuerdo de tratamiento de datos cubre los datos personales de la UE, el Reino Unido y Suiza, con las cláusulas contractuales tipo de la UE y el anexo del Reino Unido incluidos. Los estudios de esos países lo aceptan al registrarse. Las empresas que usamos para prestar el servicio figuran en nuestra lista de subencargados.

Para esos estudios, un cliente que marca la casilla de correos de marketing recibe primero un correo de confirmación, y solo queda suscrito cuando confirma. La casilla siempre empieza sin marcar, y cada cambio en la elección de un cliente queda registrado. Las etiquetas publicitarias de la página de reservas alojada esperan a que el visitante las acepte, y nuestras fuentes se sirven desde nuestros propios servidores y no desde los de un tercero. Borrar a un cliente también lo elimina de una lista conectada de Mailchimp o MailerLite.

Los datos personales no se guardan para siempre. La dirección IP registrada con una reserva se borra a los 12 meses. En nuestros planes de autoservicio, cuando termina una suscripción, el propietario recibe por correo la fecha en que se borrarán sus datos, 30 días después, y volver a suscribirse antes de esa fecha lo detiene.

Copias de seguridad

Sus datos se respaldan a diario en un almacenamiento en la nube cifrado. Las copias de seguridad se conservan durante 60 días. Si se pierden datos, nuestro objetivo es recuperar los datos de las últimas 24 horas.

Infraestructura

FullClass está alojado en Render, en una única región del oeste de Estados Unidos. Nuestros proveedores de infraestructura mantienen informes SOC 2 Type II. FullClass en sí no ha completado una auditoría SOC 2. Supervisamos la disponibilidad de forma continua. El estado actual puede consultarse en nuestra página de estado.

Gestión de vulnerabilidades

Nuestro código se analiza en busca de vulnerabilidades conocidas con govulncheck cada vez que se fusiona un cambio. Las dependencias se revisan periódicamente y se actualizan cuando se divulgan problemas de seguridad.

Divulgación responsable

Si cree haber encontrado una vulnerabilidad de seguridad en FullClass, comuníquenosla en [email protected]. Acusaremos recibo de su informe en un plazo de 48 horas y trabajaremos con usted para entender y resolver el problema con rapidez. Le pedimos que no divulgue públicamente el problema hasta que hayamos tenido una oportunidad razonable de solucionarlo.

Preguntas

Si tiene preguntas sobre la seguridad en FullClass, escríbanos a [email protected].