Cuentas y credenciales
-
01
Cifrado en reposo
Los tokens OAuth y las claves de API de tus integraciones se cifran fila a fila con AES-256-GCM y solo se descifran en el momento de cada llamada. Las claves se pueden rotar sin interrumpir el servicio, y los textos cifrados antiguos se vuelven a cifrar con la clave nueva.
-
02
Solo se guarda el hash
Los tokens de sesión, los tokens de API personales, los enlaces de invitación y los tokens de verificación de e-mail y de restablecimiento de contraseña se guardan como hashes SHA-256. Los enlaces para restablecer la contraseña son de un solo uso y caducan al cabo de una hora.
-
03
Roles y tokens con permisos acotados
Cada organización contiene espacios de trabajo con miembros asignados por rol. Los tokens de API personales llevan permisos definidos, pueden ser de solo lectura, caducan y tienen un límite de peticiones. Las sesiones se pueden revocar desde la página de la cuenta.
-
04
Solo APIs oficiales
Demander se conecta a las plataformas con OAuth a través de sus APIs públicas. Nunca te pide las contraseñas de las plataformas ni maneja una sesión de navegador en tu nombre.
Aislamiento entre clientes
-
01
Cada fila pertenece a un espacio de trabajo
Todos los datos de clientes llevan el ID de un espacio de trabajo, y cada consulta se limita al espacio de trabajo del miembro autenticado. Si alguien pide registros de otro cliente, la respuesta es la misma que si no existieran.
-
02
Probado en la capa HTTP
La batería de pruebas envía a la API IDs de otros clientes y comprueba que se rechazan todos, tanto con sesiones como con tokens de API.
-
03
Peticiones salientes controladas
El rastreo de webs, los webhooks y el reenvío de leads pasan por un cliente HTTP que rechaza las direcciones privadas e internas, así que una URL introducida en Demander no puede llegar a la red interna de Demander.
Datos personales protegidos desde el diseño
| Datos | Cómo los trata Demander |
|---|---|
| Visitantes de la web | El tracker tiene tres modos: estricto, equilibrado y desactivado. En modo estricto, nada identifica a un visitante antes de que dé su consentimiento. Global Privacy Control y Do Not Track cuentan como falta de consentimiento de marketing, y si se retira el consentimiento se borran los identificadores guardados. |
| Direcciones IP | Nunca se guardan en claro: se usa un hash con sal que cambia cada día y prefijos truncados para identificar la empresa. |
| Identificación de empresas | Solo a nivel de empresa, y solo con una evaluación del interés legítimo documentada o con consentimiento de marketing. Se descartan los proveedores de internet, los operadores móviles y los centros de datos. |
| Personas | Solo se identifican cuando ellas mismas se dan a conocer: con un formulario, una respuesta o un opt-in confirmado. Su identidad nunca se deduce de su comportamiento. |
| Outbound por e-mail | Se comprueba con las normas del país del destinatario al inscribirlo en la secuencia y otra vez en el momento del envío. Las bajas, los rebotes permanentes y las quejas pasan la dirección a la lista de exclusión al instante. |
| Audiencias publicitarias | Los e-mails con hash solo llegan a las plataformas publicitarias si son de contactos con consentimiento de marketing explícito que no se han dado de baja; las personas encontradas mediante prospección nunca se suben. |
Tienes todos los detalles en la política de privacidad, el aviso de cookies y el DPA.
Alojamiento, copias de seguridad y monitorización
-
01
Alojamiento en la UE
La aplicación y su base de datos funcionan en la UE. La lista actual de subencargados del tratamiento, con el lugar donde tratan los datos, figura en el DPA.
-
02
Copias de seguridad con restauración probada
Cada día se hace un volcado de la base de datos, con sumas de comprobación, a un almacenamiento de objetos cifrado y con control de versiones en una segunda ubicación. Una vez al mes se ensaya la restauración en una instancia desechable.
-
03
Informes de errores depurados
Antes de salir del servidor, los informes de errores descartan el cuerpo de las peticiones y enmascaran las direcciones de e-mail, las credenciales, los tokens y las direcciones IP.
-
04
Límites de peticiones y control de abusos
Los endpoints públicos tienen límite de peticiones, el endpoint de recogida del tracker no puede otorgar consentimiento y los formularios alojados usan un honeypot y doble opt-in.
Automatización que se puede auditar
Cada cambio que Demander hace en una cuenta publicitaria, un buzón o un perfil social es una acción propuesta con un motivo y unas pruebas. Antes de ejecutarse pasa por un control previo determinista, queda en el registro de cambios y se puede revertir. Los agentes de IA conectados por la API o por MCP pasan exactamente por el mismo control y quedan en el mismo registro.
Preguntas que nos hacen
¿Tenéis un DPA?
Sí. El contrato de encargo del tratamiento del art. 28 del RGPD, con la lista de subencargados y las medidas de seguridad, está en /legal/dpa.
¿Qué pasa con nuestros datos si dejamos Demander?
Puedes borrar un espacio de trabajo, toda la organización o tu cuenta. Al borrar se eliminan tus datos, incluidos los archivos de marca, y antes se cancela la suscripción. Las campañas y las audiencias se quedan en tus propias cuentas publicitarias.
¿Puede Demander gastar dinero que no hemos aprobado?
Solo dentro del nivel de autonomía y de los topes que fijes, y nunca por encima de los límites fijos: la parada de emergencia, los topes diario y mensual, el límite de cambio diario y la comprobación del seguimiento. Cada cambio automático queda registrado y se puede deshacer.
¿Se etiquetan los contenidos generados con IA?
Sí. Las imágenes y los vídeos generados con IA se marcan según las normas de transparencia del Reglamento de IA de la UE y las etiquetas propias de cada plataforma.