Infraestructura
Hanory no funciona en un servidor casero. Funciona sobre infraestructura gestionada por proveedores especializados que pasan auditorías independientes, de modo que las actualizaciones de servidores, la seguridad física y los fallos de hardware los gestionan equipos dedicados a ello.
- Alojamiento y distribución: Cloudflare. La web y la app se sirven desde la red global de Cloudflare. El sitio solo se abre por HTTPS, así que todo el tráfico entre tu navegador y Hanory va cifrado. Una política HSTS indica a tu navegador que use solo conexiones cifradas con Hanory durante dos años tras tu primera visita.
- Base de datos, inicio de sesión y archivos: Supabase. Una base de datos PostgreSQL gestionada funciona en la Unión Europea, en la región de Fráncfort (Alemania). Supabase indica que cifra los datos de sus clientes en reposo con AES-256 y en tránsito con TLS (página de seguridad de Supabase).
- Cabeceras de seguridad del navegador. Cada respuesta indica a tu navegador reglas estrictas: una política de seguridad de contenido (CSP) solo permite scripts de Hanory, del pago de Paddle y de las etiquetas de medición de Google sujetas a tu consentimiento; Hanory no puede incrustarse dentro de otras webs (contra el clickjacking); el navegador no adivina tipos de archivo; al salir hacia otra web solo se comparte nuestro dominio; y el acceso a cámara, micrófono y ubicación está desactivado.
- Mínimo privilegio. Las funciones del servidor solo tienen los permisos que necesitan. Las funciones sensibles solo pueden ejecutarse con una clave de servicio que vive en el servidor y nunca se envía a tu navegador. La app solo usa la clave pública, cuyo acceso está limitado por las reglas de la base de datos.
Datos y acceso
En Hanory cada producto, documento, factura y suscripción pertenece a un hogar. Quién puede ver qué no lo decide solo la interfaz, sino directamente la base de datos mediante políticas de seguridad a nivel de fila (Row Level Security).
- Una cuenta solo puede leer los registros de los hogares de los que es miembro y solo puede modificar los de hogares donde tiene permiso de edición.
- Como la regla la aplica la base de datos, los registros de otro hogar siguen fuera de alcance aunque la app tuviera un fallo o alguien manipulara una petición.
- La base de datos se copia automáticamente cada día (copias diarias de Supabase Pro), así que los registros pueden restaurarse tras un fallo.
Documentos
Los archivos que subes —garantías, tickets, fotos de productos— se guardan en un espacio privado de Supabase Storage que no es público.
- Los archivos no tienen dirección pública. Al abrir un documento en la app se genera un enlace firmado solo para ese momento, que caduca a la 1 hora. Aunque alguien copie el enlace, deja de funcionar enseguida.
- El almacenamiento sigue las mismas reglas por hogar: solo los miembros de un hogar ven sus archivos y solo quienes tienen permiso de edición pueden añadirlos o borrarlos.
- Solo se aceptan archivos JPG, PNG, WEBP y PDF, de hasta 10 MB cada uno.
- Cuando borras un producto o tu cuenta, los documentos y fotos subidos para ellos también se eliminan del almacenamiento.
- Importante: los archivos subidos no se incluyen en las copias diarias de la base de datos. Te recomendamos conservar los originales de los documentos importantes (o las copias en PDF que recibiste por correo) y exportar tus registros con regularidad.
Seguridad de la cuenta
- El inicio de sesión lo gestiona Supabase Auth. Tu contraseña solo se guarda como un hash unidireccional; nadie, ni siquiera nosotros, puede verla en texto plano.
- Se rechazan las contraseñas que han aparecido en filtraciones conocidas (la protección contra contraseñas filtradas está activada). Las contraseñas deben tener al menos 8 caracteres.
- Si te registras con correo, debes confirmar tu dirección antes de usar la cuenta.
- Puedes usar, si quieres, "Iniciar sesión con Google". Funciona con el cliente OAuth de Google propio de Hanory, y tu contraseña de Google nunca llega a Hanory.
Consejos para ti
- Usa una contraseña fuerte y única. Elige una contraseña larga que no uses en ningún otro sitio; un gestor de contraseñas lo pone fácil.
- Inicia sesión con Google. Si tu cuenta de Google tiene activada la verificación en dos pasos, tu acceso a Hanory también se beneficia.
- Cierra sesión en dispositivos compartidos. Si usaste un ordenador o tableta compartidos, cierra sesión en Ajustes > Tu cuenta al terminar.
- No compartas tu contraseña. Hanory nunca te pedirá tu contraseña por correo ni por teléfono.
Pagos
Los pagos de Hanory Plus los procesa Paddle, nuestro revendedor autorizado y Merchant of Record. Introduces los datos de tu tarjeta en el pago de Paddle; el número de tu tarjeta nunca llega a los servidores de Hanory ni lo guardamos.
Hanory solo recibe datos como el ID de suscripción, el plan y el estado mediante notificaciones firmadas de Paddle (webhooks). La firma de cada notificación se verifica con una clave secreta, y se rechazan las que no superan la verificación o tienen más de 5 minutos.
Correo y notificaciones
- La confirmación de la cuenta, el restablecimiento de contraseña y los resúmenes diarios de recordatorios se envían con Resend desde su región de envío de la Unión Europea (Irlanda).
- Cada correo de recordatorio incluye un enlace para darte de baja con un clic, y tu app de correo puede mostrar directamente un botón para darte de baja. Los recordatorios dentro de la app no cambian.
- Nunca enviamos correos de marketing sin tu consentimiento.
Cookies y analítica
- Google Analytics solo se carga si lo aceptas en el aviso de cookies; si no, nunca se ejecuta.
- Según Google, Google Analytics 4 no registra ni almacena direcciones IP. La personalización de anuncios está desactivada y tus datos nunca se venden.
- Puedes cambiar o retirar tu consentimiento en cualquier momento en la app, en Ajustes > Preferencias de cookies. La lista de cookies está en la política de privacidad.
- El almacenamiento local de tu navegador guarda tu sesión, tu idioma y tu elección de cookies; son necesarios para que la app funcione.
Tus derechos sobre tus datos
- Exportar: descarga tus registros en JSON, CSV o PDF desde Ajustes cuando quieras.
- Eliminar: elimina tu cuenta desde Ajustes. Los registros y archivos subidos (documentos y fotos) se borran de inmediato y desaparecen de las copias técnicas en un plazo máximo de 30 días.
- Solicitudes RGPD y KVKK (ley turca de protección de datos, art. 11): para acceso, rectificación, supresión, oposición y tus demás derechos, escribe a destek@hanory.app; respondemos en un máximo de 30 días. El responsable del tratamiento es Tolga Deveci. Más detalles en la política de privacidad.
Encargados del tratamiento
Para hacer funcionar Hanory trabajamos con estos proveedores. Cada uno trata los datos solo para su tarea.
| Proveedor | Para qué | Ubicación |
|---|---|---|
| Supabase | Base de datos, inicio de sesión (autenticación) y almacén privado de documentos | UE — Fráncfort, Alemania |
| Cloudflare | Alojamiento de la web y la app, distribución de contenido (CDN) | Red global; las peticiones se atienden desde un centro de datos cercano |
| Paddle | Pagos, facturación e impuestos (Merchant of Record; responsable independiente con su propia política de privacidad) | Paddle.com Market Ltd, Reino Unido |
| Resend | Correos de la cuenta y resúmenes diarios de recordatorios | Envío desde la UE (Irlanda); Resend guarda los registros de correo en Estados Unidos (fuente) |
| Inicio de sesión con Google opcional; Google Analytics y medición de conversiones de Google Ads solo con tu consentimiento | Infraestructura global de Google |
Las transferencias fuera de Turquía son necesarias para prestar el servicio y se basan en los contratos tipo previstos en el art. 9 de la KVKK. Los países y las garantías figuran en la política de privacidad.
Auditorías independientes de nuestros proveedores. Estas certificaciones son de los proveedores, no de Hanory, y cada una está publicada en la página oficial del proveedor: Supabase SOC 2 Type 2 e ISO 27001 (supabase.com/security); Cloudflare SOC 2 Type II (Cloudflare SOC 2) e ISO 27001 (certificaciones ISO de Cloudflare); Resend SOC 2 Type II (resend.com/security).
Aviso de vulnerabilidades
Si crees que has encontrado una vulnerabilidad de seguridad en Hanory, escribe a guvenlik@hanory.app. Los avisos llegan directamente al desarrollador de Hanory. Este contacto también se publica en nuestro archivo estándar security.txt.
- Qué incluir: la página o función afectada, los pasos para reproducirla, el posible impacto y cómo contactarte. Una captura o un vídeo corto ayudan mucho.
- Plazo de respuesta: respondemos en un máximo de 5 días hábiles y te mantenemos informado mientras lo corregimos.
- Por favor: prueba solo con tu propia cuenta y tus propios datos de prueba; no accedas, modifiques ni borres datos de otras personas; no hagas pruebas de carga ni intentos de denegación de servicio (DoS); no uses spam ni ingeniería social; y danos un plazo razonable para corregirlo antes de hacerlo público.
- Por ahora no tenemos un programa de recompensas pagadas; agradecemos los avisos hechos de buena fe y dentro de estas reglas.
Honestidad responsable: lo que no afirmamos
La confianza se gana con transparencia, no con exageraciones. Por eso también contamos nuestros límites:
- Hanory todavía no ha pasado una auditoría de seguridad independiente. Las certificaciones SOC 2 e ISO 27001 de arriba son de nuestros proveedores de infraestructura, no de Hanory.
- Hanory no ofrece cifrado de extremo a extremo. Tus datos van cifrados en tránsito con HTTPS y Supabase cifra los datos en reposo, pero el servicio necesita poder leerlos en el servidor para funcionar. Solo tratamos tus datos para prestar, proteger y respaldar el servicio.
- Todavía no ofrecemos verificación en dos pasos (2FA). Para una protección extra, inicia sesión con una cuenta de Google que tenga activada la verificación en dos pasos.
- Los archivos subidos no se incluyen en las copias diarias de la base de datos. Conserva los originales de los documentos importantes.
- Hanory es un servicio pequeño e independiente. No tenemos estructuras corporativas como un centro de operaciones de seguridad 24/7; por eso nos apoyamos en infraestructura gestionada por especialistas y en reglas que aplica la propia base de datos.
- Ningún sistema puede garantizar una seguridad absoluta. Si se produjera una brecha que afecte a tus datos personales, te lo notificaremos a ti y a la autoridad competente según exigen el RGPD y la KVKK.
Preguntas frecuentes
¿Dónde se guardan mis datos?
Tu cuenta, tus registros y tus documentos se guardan en la base de datos y el almacenamiento de Supabase en la región de Fráncfort (Alemania). Los correos se envían desde la UE con Resend, que guarda sus registros de correo en Estados Unidos. La lista completa de proveedores está en la tabla de arriba.
¿Puede otra persona ver mis documentos?
No. Las reglas de la base de datos y del almacenamiento solo te dejan acceder a los registros y archivos de los hogares de los que eres miembro. Los documentos no tienen dirección pública; al abrir uno se crea un enlace personal que caduca a la 1 hora.
¿Guarda Hanory los datos de mi tarjeta?
No. Los pagos se procesan en el pago de Paddle. Hanory solo recibe datos como el ID y el estado de la suscripción mediante notificaciones con firma verificada.
¿Qué pasa con mis datos si elimino mi cuenta?
Tus registros y archivos subidos (documentos y fotos) se borran de inmediato y desaparecen de las copias técnicas en un máximo de 30 días. Antes de eliminarla puedes exportar tus datos desde Ajustes.
He encontrado una vulnerabilidad, ¿qué hago?
Escribe a guvenlik@hanory.app explicando cómo reproducirla. Respondemos en un máximo de 5 días hábiles. Por favor, no accedas a datos de otras personas ni intentes ataques de denegación de servicio.