← Volver al inicio

Borrador generado por IA — pendiente de revisión legal antes de firmar con clientes.

Política de Seguridad de la Información

Versión: v1.2 · Fecha: 20 de octubre de 2026 · Aplica a: BiGuard (panel web https://biguardhn.com y app móvil)

1. Objetivo y alcance

Esta política explica cómo BiG Technology ("BiG": [COMPLETAR: razón social]) protege los datos de BiGuard. Está escrita para que administradores, residentes y guardias entiendan qué hacemos y qué deben hacer ellos.

Aplica a:

  • El panel web (https://biguardhn.com).
  • La app móvil para residentes y guardias.
  • La base de datos, el almacenamiento y los servicios que los respaldan.
  • El personal de BiG y los proveedores con acceso a esos sistemas.

Protegemos tres cosas: que los datos sean confidenciales (solo los ve quien debe), íntegros (no se alteran sin control) y disponibles (funcionan cuando se necesitan).

2. Datos que protegemos

  • Nombre, correo y teléfono de administradores, residentes y guardias.
  • Vivienda asociada a cada residente.
  • Datos de visitantes: nombre, placa, motivo de la visita y, si el residente la adjunta al anunciar la visita, foto o imagen de identificación.
  • Placas de vehículos.
  • Bitácora de accesos (fecha, hora, resultado y guardia).
  • Cargos, saldos pendientes y morosidad de cuotas, y comprobantes de pago.
  • Tokens de notificaciones del dispositivo (FCM/APNs).
  • Fecha, dirección IP y navegador de la aceptación de documentos legales.

Los datos de tarjeta no se guardan en BiG. La tarjeta se tokeniza en el navegador o en el dispositivo y la procesa PixelPay, tanto para la suscripción de la residencial como para las cuotas de residentes cuando se paguen con tarjeta.

Las fotos de visitantes las revisa una persona. BiG no hace reconocimiento facial ni comparación biométrica.

3. Responsabilidades

  • BiG: diseña, opera y vigila la seguridad de la plataforma.
  • Residencial: gestiona sus usuarios, roles y decisiones de acceso, y capacita a su personal, incluido el de empresas de seguridad contratadas.
  • Usuarios: cuidan sus contraseñas y dispositivos, y reportan problemas.

Para reportar un incidente o una vulnerabilidad: soporte@biguardhn.com.

4. Control de acceso por rol

Cada persona ve solo lo que necesita para su trabajo.

Rol Puede hacer
Administrador de la residencial Gestionar usuarios, viviendas, cuotas y ver la bitácora y las fotos de visitantes de su residencial
Residente Ver y gestionar sus propias visitas, QR, cuotas y comprobantes
Guardia Escanear QR, registrar entradas y salidas de visitas, anotar accesos sin QR y ver la bitácora del día. No ve pagos
Súper administrador de BiG Operar la plataforma para todas las residenciales: altas, suscripciones, métricas, usuarios de alto nivel y, cuando el soporte, la seguridad o el mantenimiento lo requieran, los datos de cualquier residencial (ver sección 10)

Principios:

  1. Mínimo privilegio: nadie recibe más permisos de los necesarios para su rol.
  2. Cuentas personales: no se comparten usuarios ni contraseñas.
  3. Baja inmediata: cuando alguien deja de pertenecer a la comunidad o al equipo, se retira su acceso.
  4. Revisión periódica de usuarios y permisos.
  5. Autenticación segura con contraseñas protegidas y sesiones con vencimiento.

5. Aislamiento por residencial (RLS)

El sistema separa los datos de cada residencial con reglas de seguridad a nivel de fila (RLS, por sus siglas en inglés) en la base de datos.

  • Cada registro pertenece a una residencial.
  • La base de datos solo devuelve filas de la residencial del usuario y según su rol.
  • Aunque una persona intentara pedir datos de otra residencial, la base los rechaza.
  • Las reglas de RLS se revisan cada vez que cambia el modelo de datos.

6. Cifrado

  • En tránsito: toda comunicación entre la app, el panel y los servidores usa HTTPS con TLS.
  • En reposo: la base de datos y los archivos (fotos y comprobantes) se almacenan cifrados en la infraestructura de Supabase.
  • Secretos: las llaves y credenciales no se guardan en el código ni en la app. Se manejan en variables protegidas de los servicios.
  • Pagos: la tarjeta se tokeniza en el navegador o dispositivo. Los números no pasan por servidores de BiG.

7. Códigos QR seguros

  • Cada QR se firma digitalmente. Si alguien lo altera, el sistema lo rechaza.
  • Cada QR vence a los 15 minutos de generarse.
  • Un QR está ligado a un residente y a una residencial, y sirve una sola vez.
  • Los escaneos se registran en la bitácora, incluso los rechazados.

8. Bitácora de accesos

  • Cada acceso (fecha, hora, quién, qué guardia, resultado) queda en la bitácora.
  • La bitácora no puede ser modificada por los usuarios de la residencial: ni administradores, ni guardias, ni residentes pueden editar ni borrar registros.
  • Si hay un error, se agrega una nueva entrada de corrección que referencia la anterior. El registro original se conserva.
  • BiG solo modifica la bitácora por incidente técnico documentado (por ejemplo, para corregir un fallo del sistema), y deja constancia del motivo.
  • La eliminación de registros solo ocurre al vencer el plazo de conservación o por solicitud válida, con procedimiento controlado.

9. Respaldos y continuidad

  • Se hacen respaldos automáticos periódicos de la base de datos.
  • Los respaldos están cifrados y con acceso restringido.
  • Se hacen pruebas de restauración de forma periódica ([COMPLETAR: frecuencia de pruebas de restauración]).
  • Los respaldos se rotan y expiran en un plazo definido, según el DPA.
  • Para la caseta, recomendamos un procedimiento manual de respaldo (libro de registro) por si falla internet o energía.

10. Acceso de BiG a los datos

BiG, como dueña y operadora de la plataforma, tiene acceso permanente a los datos de todas las residenciales con su cuenta de súper administrador. Ese acceso existe para operar el servicio: dar soporte, atender incidentes de seguridad y hacer mantenimiento.

Reglas de ese acceso:

  • Está sujeto a la confidencialidad del contrato, al Acuerdo de Tratamiento de Datos (DPA) y a esta política.
  • Se usa solo para soporte, seguridad y mantenimiento. El personal de BiG no revisa los datos de las residenciales por curiosidad ni para otros fines.
  • Se limita al personal de BiG que lo necesita por su función. Las cuentas de súper administrador son personales y se crean y retiran por el equipo técnico.
  • El personal firma compromisos de confidencialidad.
  • El panel de súper administrador muestra solo conteos y datos de operación (altas, suscripciones, usuarios de alto nivel); no tiene pantallas para fichas de residentes, fotos, comprobantes ni bitácoras detalladas. Las consultas directas a esos datos se hacen únicamente cuando un caso de soporte o un incidente lo requiere.

11. Proveedores y subencargados

Usamos proveedores tecnológicos reconocidos:

  • Supabase: base de datos y almacenamiento (EE. UU., región us-east-1).
  • Vercel: alojamiento del panel web.
  • Google Firebase Cloud Messaging (Android) y Apple Push Notification service (iPhone): notificaciones push.
  • PixelPay: pagos con tarjeta en Honduras.

Los elegimos por sus medidas de seguridad. Nos apoyamos en sus términos de procesamiento de datos, que exigen confidencialidad y protección de datos, y revisamos los cambios importantes que anuncian.

12. Seguridad en el desarrollo y la operación

  • Los cambios al código se revisan antes de publicarse.
  • Mantenemos actualizadas las dependencias y corregimos vulnerabilidades conocidas.
  • Separamos los ambientes de prueba y de producción. No usamos datos reales en pruebas, salvo autorización y protección.
  • Registramos eventos importantes (inicios de sesión, errores, cambios de permisos) y los revisamos.
  • Limitamos el acceso administrativo a la infraestructura y usamos verificación adicional cuando está disponible.

13. Gestión de incidentes

Un incidente es cualquier evento que pueda afectar la seguridad de los datos.

Pasos que seguimos:

  1. Detectar y reportar: cualquier persona puede avisar a soporte@biguardhn.com.
  2. Evaluar: se clasifica la gravedad y se asigna un responsable.
  3. Contener: se bloquean accesos, se cambian credenciales y se detiene el daño.
  4. Investigar: se determina causa, alcance y datos afectados con base en los registros.
  5. Notificar: si hay brecha que afecte datos personales, BiG avisa a la residencial a más tardar en 72 horas desde que la detecta, al contacto para incidentes del Anexo A del contrato. El aviso explica qué pasó, qué datos y qué medidas se toman.
  6. Corregir y recuperar: se repara la causa y se restablece el servicio.
  7. Aprender: se documenta lo ocurrido y se mejoran los controles.

14. Lo que debes hacer como usuario

  • Usa una contraseña única y difícil de adivinar.
  • No compartas tu cuenta ni tu QR.
  • Cierra sesión en dispositivos compartidos. En la app, el residente tiene el botón Cerrar sesión en Inicio y el guardia en la pantalla Caseta.
  • Mantén tu teléfono y la app actualizados.
  • Desconfía de mensajes que te pidan contraseñas o códigos. BiG nunca los pide por chat o llamada.
  • Avisa de inmediato si pierdes tu teléfono o crees que alguien usó tu cuenta.
  • Residentes: la foto o identificación de tu visitante la registras tú desde la app; informa al visitante y cuenta con su acuerdo antes de subirla.
  • Guardias: en la caseta no se toman fotos de visitantes ni de documentos, ni con la app ni con el celular personal, y no se envían datos de visitantes por mensajería.

15. Limitaciones

Ningún sistema es completamente invulnerable. BiG aplica medidas razonables y proporcionales al riesgo, pero no puede garantizar la ausencia total de incidentes. La responsabilidad de BiG se rige por el contrato con la residencial (cláusula 12, con tope de 12 meses de pagos) y por los Términos y Condiciones.

16. Revisión de esta política

BiG revisa esta política al menos una vez al año y cuando haya cambios importantes en la plataforma, en los proveedores o en la ley aplicable. Las nuevas versiones se publican con fecha y número de versión en https://biguardhn.com/legal/seguridad.

Esta política se rige por las leyes de Honduras, incluyendo el Código de Comercio, el Código Civil y la normativa aplicable a protección de datos personales y comercio electrónico.

17. Contacto

BiGuard · Política de Seguridad de la Información · v1.2 · 20 de octubre de 2026 · Borrador generado por IA — pendiente de revisión legal antes de firmar con clientes.