Como protegemos sus datos

MAGIC opera en Servidores Privados Virtuales dedicados ubicados en Alemania y los Paises Bajos dentro de la Union Europea. Nuestra infraestructura esta disenada con defensa en profundidad:

• Alojamiento europeo— todo el almacenamiento primario de datos y servidores de aplicacion estan fisicamente ubicados en centros de datos de la UE, sujetos a la legislacion de proteccion de datos de la UE.
• Aislamiento de red— los servicios internos (ClickHouse, workers en segundo plano) se ejecutan en redes Docker aisladas sin exposicion directa a internet.
• Reglas de firewall— reglas estrictas de ingreso/egreso permiten solo el trafico necesario. El acceso SSH esta limitado a autenticacion por clave desde IPs en lista blanca.
• Infraestructura como codigo— las configuraciones de servidor estan versionadas y son reproducibles, reduciendo la desviacion y permitiendo una recuperacion rapida ante desastres.

Implementamos cifrado en cada capa del ciclo de vida de los datos:

• En transito— todas las conexiones utilizan cifrado TLS 1.3. Los encabezados HSTS imponen HTTPS en todos los endpoints.
• En reposo (PostgreSQL)— cuentas de usuario, registros de autenticacion y estado de la aplicacion se almacenan con cifrado AES-256 en volumenes cifrados.
• En reposo (ClickHouse)— datos analiticos de marketing, metricas de series temporales y datos de rendimiento agregados residen en volumenes cifrados con cifrado a nivel de sistema de archivos.
• Tokens OAuth— los tokens de conexion de plataformas (Google Ads, Meta Ads, TikTok Ads) se cifran a nivel de aplicacion antes del almacenamiento en base de datos, utilizando cifrado de sobres.
• Comunicaciones API— todas las llamadas a servicios de terceros (proveedores de IA, plataformas publicitarias) se realizan por canales cifrados con verificacion de certificados.

MAGIC utiliza Better Auth, un robusto framework de autenticacion TypeScript, con multiples capas de verificacion de identidad:

• Email OTP— autenticacion sin contrasena mediante codigos de un solo uso enviados a direcciones de correo verificadas.
• Autenticacion de Dos Factores (2FA)— segundo factor opcional basado en TOTP usando aplicaciones autenticadoras (Google Authenticator, Authy, 1Password).
• Sesiones seguras — las cookies de sesion son httpOnly, secure y SameSite=Lax, previniendo el robo de sesiones basado en XSS.
• Expiracion automatica— las sesiones expiran tras inactividad y requieren re-autenticacion para operaciones sensibles.

Los datos de los clientes estan estrictamente aislados para prevenir cualquier fuga de datos entre cuentas:

• Separacion a nivel de consulta— cada consulta a la base de datos esta delimitada al ID del usuario autenticado. No existe un espacio de datos compartido entre cuentas.
• Autorizacion de API— todos los endpoints de API validan la propiedad del recurso antes de devolver datos. Intentar acceder a recursos de otro usuario devuelve una respuesta 403 Forbidden.
• Procesamiento de IA aislado— cada trabajo de analitica se ejecuta unicamente con los datos del usuario solicitante. Los resultados del modelo nunca se comparten entre cuentas.

Evaluamos cuidadosamente a nuestros proveedores de IA y mantenemos acuerdos estrictos de manejo de datos con cada uno:

Todos los proveedores de IA estan ubicados en Estados Unidos. Las transferencias de datos se rigen por Clausulas Contractuales Tipo (SCCs) segun lo requerido por el GDPR.

Mantenemos monitoreo continuo en toda nuestra infraestructura para detectar y responder a eventos de seguridad:

• Seguimiento de errores— Sentry proporciona monitoreo de errores en tiempo real con trazas de pila completas, permitiendo la identificacion y resolucion rapida de problemas de aplicacion.
• Logging estructurado— todos los eventos de la aplicacion se registran en formato JSON estructurado con IDs de correlacion, permitiendo analisis forense cuando sea necesario.
• Deteccion de anomalias— alertas automatizadas se activan ante patrones inusuales como intentos de inicio de sesion anormales, picos inesperados de trafico API o anomalias en la utilizacion de recursos.
• Monitoreo de disponibilidad— verificaciones de salud externas comprueban la disponibilidad del servicio y los tiempos de respuesta a intervalos regulares.

Mantenemos un plan documentado de respuesta a incidentes para manejar eventos de seguridad de manera rapida y transparente:

• Notificacion en 24 horas— en caso de una brecha de datos personales confirmada, los clientes afectados son notificados dentro de las 24 horas posteriores al descubrimiento, en cumplimiento con los requisitos de los Articulos 33 y 34 del GDPR.
• Proceso post-mortem— cada incidente de seguridad se somete a un analisis post-mortem exhaustivo. Los hallazgos, causas raiz y acciones de remediacion se documentan y comparten con las partes afectadas.
• Reporte regulatorio— las brechas se reportan a las autoridades supervisoras relevantes dentro de los plazos establecidos.
• Mejora continua— las lecciones aprendidas de los incidentes se incorporan en nuestras practicas, politicas y herramientas de seguridad para prevenir recurrencia.

Para inquietudes de seguridad, reportes de vulnerabilidades o preguntas sobre nuestras practicas de seguridad: