Seguridad en QRCodeKIT

Última revisión: 27 de octubre de 2026. Las preguntas que esta página no responda, a [email protected].

Datos de seguridad

Certificaciones y alojamiento

¿QRCodeKIT ha sido certificado según ISO/IEC 27001?

Sí. QRCodeKIT ha sido certificado según ISO/IEC 27001, la norma internacional de gestión de la seguridad de la información. Nuestro sistema de gestión de la seguridad de la información (SGSI) abarca el control de acceso, la criptografía, las copias de seguridad y la recuperación, el desarrollo seguro, la gestión de proveedores y la gestión de incidentes, y se revisa al menos una vez al año. QRCodeKIT también ha sido certificado según ISO 9001 en calidad e ISO 14001 en gestión ambiental, y nuestros códigos cumplen ISO/IEC 18004:2024, la norma de los códigos QR.

¿Dónde se alojan los datos de los clientes?

En Amazon Web Services, en Fráncfort, Alemania (eu-central-1). Ahí se almacenan y tratan los códigos QR, los proyectos, los datos de la cuenta, las analíticas de escaneo, los archivos subidos y las respuestas de los formularios. Los recursos estáticos se sirven a través de la red perimetral global de Amazon CloudFront, y Cloudflare protege el tráfico antes de que llegue a nuestra infraestructura.

Nuestro operador está constituido en Estados Unidos, así que cualquier transferencia internacional se apoya en las garantías descritas en nuestra política de privacidad: decisiones de adecuación, garantías contractuales o un marco de transferencia aplicable. Nuestro artículo sobre plataformas de códigos QR alojadas en la UE explica qué significa la residencia de los datos para quien compra.

Protección de datos

¿Los datos de los clientes están cifrados en reposo y en tránsito?

Sí. Todos los datos en tránsito están protegidos con TLS 1.2 o superior, incluida la conexión con nuestra capa de caché. Nuestra política exige que las bases de datos estén cifradas en reposo con AWS Key Management Service, con claves protegidas por módulos de seguridad de hardware validados según FIPS 140-2. Las respuestas recogidas con códigos QR de formulario reciben una segunda capa: se cifran con AES-256 a nivel de aplicación antes de escribirse en la base de datos. Las claves de API se guardan solo como hashes SHA-256, y los secretos de la infraestructura se entregan a través de AWS Secrets Manager y Parameter Store, no integrados en las imágenes de contenedor.

¿Qué registra un escaneo y quién puede verlo?

Cada escaneo registra una marca de tiempo, una ubicación aproximada (país, región y ciudad), el dispositivo, el sistema operativo y el navegador, y la página de procedencia. La ubicación la resuelve nuestro propio servicio de geolocalización dentro de nuestra infraestructura, no una API externa, y nuestros servidores no envían datos de escaneo a ningún proveedor de analítica externo. Las analíticas de escaneo solo son visibles para los usuarios de la cuenta propietaria del código. Los webhooks enviados a herramientas como Zapier o Make van firmados y no incluyen la dirección IP ni los datos del navegador de quien escanea.

Acceso e identidad

¿Cómo inician sesión los usuarios y se admite la autenticación multifactor?

Las cuentas Enterprise inician sesión a través de su propio proveedor de identidad con inicio de sesión único OpenID Connect: Google Workspace, Microsoft Entra ID y ADFS, Okta, Auth0 o cualquier proveedor compatible con OIDC. La autenticación multifactor, la confianza en el dispositivo y las políticas de sesión las aplica entonces tu proveedor de identidad a los miembros del equipo que inician sesión a través de él. En todos los planes también se puede iniciar sesión con Google, heredando la protección multifactor configurada en la cuenta de Google.

Las contraseñas se guardan con hash bcrypt o Argon2, los tokens de sesión caducan al cabo de una hora, los enlaces para restablecer la contraseña caducan a los diez minutos y el registro está protegido contra el abuso automatizado con Cloudflare Turnstile. Internamente, la autenticación multifactor es obligatoria en todos los sistemas críticos, y el acceso administrativo a nuestro entorno en la nube solo es posible a través de una VPN vinculada al inicio de sesión único corporativo.

¿Qué roles y permisos hay?

Cuatro roles: Owner, Admin, Editor y Member, con permisos que se comprueban en cada operación sobre códigos, proyectos, dominios personalizados, gestión del equipo y facturación. Los miembros del equipo se unen por invitación por correo electrónico, y solo el Owner puede eliminar la cuenta. Los datos de cada cuenta están aislados de los de todas las demás a nivel de aplicación.

¿Hay un registro de auditoría de quién cambió qué?

Sí. QRCodeKIT mantiene un registro de auditoría en el servidor para cada cuenta. Cada creación, modificación y eliminación de códigos QR, proyectos, dominios personalizados, miembros del equipo, claves de API y facturación se registra con el usuario que la hizo, la fecha y hora y los valores antes y después del cambio, y cada registro muestra quién lo creó y quién lo modificó por última vez. Las acciones realizadas por agentes de IA a través de nuestro servidor MCP se registran con el identificador del agente, los permisos usados y el resultado.

IA e integraciones

¿Cómo se protegen las claves de API, los webhooks y los agentes de IA?

Las claves de la REST API v2 se pueden revocar en cualquier momento, pueden tener fecha de caducidad y se guardan solo como hashes. Los webhooks salientes van firmados con HMAC-SHA256 para que tus sistemas puedan verificar que vienen de nosotros. Los asistentes de IA como Claude y ChatGPT se conectan a través de nuestro servidor MCP con OAuth 2.1 y PKCE: el asistente recibe un token revocable limitado a cuatro ámbitos (lectura, creación, modificación y eliminación), nunca tu contraseña, y cada acción de escritura te pide confirmación. QRCodeKIT no recibe el contenido de tus conversaciones con Claude o ChatGPT.

Operaciones y resiliencia

¿Cómo se mantiene disponible la plataforma y cuánto tarda en recuperarse?

La plataforma funciona detrás de balanceadores de carga repartidos en varias zonas de disponibilidad de AWS, escala horizontalmente en minutos y se monitoriza 24/7, con alertas automáticas al ingeniero de guardia y a nuestros CTO, COO y CEO. Nuestro objetivo de disponibilidad es del 99,9 %.

Las bases de datos se copian a diario, cifradas, en una ubicación separada, y los archivos subidos se copian cada semana. Cada trimestre ensayamos una recuperación completa: restauramos la última copia, desplegamos de nuevo la infraestructura en otra zona a partir del código y redirigimos el tráfico. Nuestro objetivo de tiempo de recuperación es de 24 horas, con el funcionamiento normal en 36 horas. Nuestra infraestructura está definida como código, así que se puede reconstruir en otra región de AWS.

¿Cómo se integra la seguridad en el desarrollo?

Cada cambio se evalúa por su impacto en la seguridad y pasa análisis estático y comprobaciones de vulnerabilidades en las dependencias antes de publicarse, y nuestra infraestructura en AWS se analiza de forma continua con Amazon Inspector. Todas las personas con acceso al código fuente firman un acuerdo de confidencialidad, el acceso sigue el principio de mínimo privilegio y se revisa cada mes, y el equipo recibe formación en seguridad al incorporarse y cada año.

Incidentes y abusos

¿Cómo se gestionan los incidentes de seguridad?

Con el procedimiento de respuesta a incidentes de nuestro SGSI certificado según ISO/IEC 27001. Cada incidente se anota en un registro de incidentes, se revisa cada semana y se cierra con un análisis de la causa raíz y las lecciones aprendidas. Si se produce una violación de datos personales, nuestro procedimiento incluye notificarla a los clientes afectados y a las autoridades competentes. Seguimos cada semana los avisos de los CERT nacionales y mantenemos un registro de amenazas. Los incidentes sospechosos se pueden notificar en cualquier momento a [email protected].

¿Cómo se gestionan los códigos QR maliciosos o abusivos?

Todos los dominios de enlaces cortos de QRCodeKIT se vigilan contra el phishing, y cualquiera puede denunciar un código sospechoso en qrcodekit.com/es/reportar-abuso o en [email protected]. Cada denuncia se revisa en un plazo de 6 horas, tanto en nuestros dominios cortos como en los dominios de marca de los clientes. Los clientes también pueden proteger sus propios códigos con contraseña, caducidad programada y un dominio personalizado (en inglés) con su marca.

Trabajar con nosotros

¿Quiénes son los subencargados del tratamiento de QRCodeKIT?

Mantenemos una lista nominal de subencargados con la finalidad, la ubicación y la garantía de transferencia de cada uno. Los datos de los clientes se tratan en Amazon Web Services en Fráncfort, con Cloudflare a cargo de la seguridad perimetral; la facturación funciona con Stripe, el correo transaccional con Mailchimp Transactional, la atención al cliente con HubSpot, la monitorización del rendimiento de la aplicación con New Relic y la analítica de producto con la nube europea de PostHog. Cada subencargado se evalúa antes de incorporarlo y sus certificaciones se revisan cada seis meses. La lista completa se puede pedir a [email protected].

¿Podemos firmar un acuerdo de encargo del tratamiento?

Sí. QRCodeKIT actúa como encargado del tratamiento de los datos que recogen tus códigos, y nuestro acuerdo de encargo del tratamiento (DPA) establece las condiciones. Pídelo a [email protected].

¿Quién rellena nuestro cuestionario de seguridad?

Envía los cuestionarios de seguridad a [email protected]. Los responde el equipo que gestiona nuestro SGSI certificado según ISO/IEC 27001, dirigido por nuestro CTO, y rellenamos los cuestionarios propios de los clientes. Para planes Enterprise, residencia de los datos y contratos, escribe a [email protected].

Preguntas frecuentes