Declaración de seguridad

Última actualización: 19 de octubre de 2026

ModIA gestiona información de proyectos de implementación, y la seguridad de esa información es parte del diseño. Esta página explica, sin exageraciones, qué medidas aplicamos hoy y cómo puedes avisarnos si encuentras un problema. ModIA es un servicio pequeño que hoy funciona como entorno de demostración y de pruebas con acceso por invitación; no cuenta con certificaciones de seguridad de terceros y no las aparentamos. Esta página describe las medidas vigentes en la fecha indicada; pueden cambiar y no constituye una garantía ni modifica los términos de servicio.

1. Cómo protegemos el servicio

Acceso y cuentas

• Solo por invitación o por dominio autorizado. Quien no fue invitado ni usa un correo de un dominio autorizado por la administración no obtiene acceso a datos. Las personas externas (por ejemplo, clientes) entran únicamente con un código de un solo uso enviado a su correo y solo ven los tableros a los que se las invitó.
• Permisos por rol y por tablero. Administradores, gestores de proyecto, colaboradores e invitados ven solo lo que les corresponde. Las personas externas requieren la aprobación del responsable del proyecto.
• Verificación en dos pasos con aplicación de autenticación y códigos de recuperación: obligatoria para quienes usan contraseña, y la administración puede exigirla también a los demás roles.
• Contraseñas guardadas solo como huella irreversible (scrypt); nunca en claro. Política de longitud y complejidad, y cierre de las sesiones abiertas al cambiarla.
• Límites de intentos fallidos de acceso y de solicitud de códigos, que protegen contra la adivinación y el abuso.
• Sesiones con cookies seguras, guardadas en el servidor y revocables desde él.

Datos y comunicaciones

• Conexión cifrada (HTTPS) en todo el servicio, con HSTS y cabeceras de seguridad (política de contenido, protección contra incrustación y otras).
• Secretos cifrados: los secretos de la verificación en dos pasos y las claves de proveedores externos se guardan cifrados; la clave del servicio de inteligencia artificial vive solo en el servidor y no se envía al navegador.
• Base de datos con un usuario de privilegios mínimos, sin exponer su puerto a internet, y copias de seguridad cifradas.
• Registro de auditoría de las acciones relevantes (cambios de permisos, accesos, administración), sin función para borrarlo desde la interfaz de la aplicación.
• Asistente SkyRob: cuando está activo, solo recibe los datos que la persona usuaria puede ver, los cambios los confirma la persona antes de aplicarse y el uso tiene topes diarios.

Correo electrónico

• Los correos de ModIA salen firmados (SPF, DKIM y DMARC) desde modia-app.com. ModIA nunca te pedirá tu contraseña por correo, y los códigos de acceso caducan en minutos y sirven una sola vez.
• Se mantiene una lista de direcciones a las que no se vuelve a escribir tras un rebote o una queja.

Práctica

• Revisiones de seguridad del código y de la configuración, con corrección de los hallazgos que se confirman, y pruebas funcionales antes de publicar cambios.
• Los entornos de demostración y de prueba están pensados para datos de ejemplo. No cargues datos de pacientes, datos sensibles ni información confidencial real de terceros (ver política de privacidad, sección 7).

Ninguna medida es perfecta. Si detectáramos un incidente que afecte tus datos, te lo informaremos sin demora indebida, según corresponda y por el medio de contacto que tengamos registrado.

2. Cómo informar de una vulnerabilidad

Si crees haber encontrado un problema de seguridad en ModIA, escríbenos a contacto@modia-app.com con el asunto «Seguridad: …», en español o inglés. Nos ayuda que incluyas:

• qué encontraste y en qué dirección web (URL) o función;
• los pasos para reproducirlo y el impacto que crees que tiene;
• capturas o datos de prueba, sin información personal de terceros.

Qué puedes esperar de nosotros:

• Intentamos acusar recibo en 5 días hábiles y mantenerte al tanto de la corrección. Como referencia, procuramos corregir los problemas confirmados en un plazo razonable (hasta 90 días según su gravedad), sin que esto sea una garantía.
• Trataremos tu informe como confidencial y, si lo deseas, te reconoceremos al publicar la corrección.
• Tus datos de contacto se usarán solo para atender el informe, conforme a la política de privacidad.
• Buena fe: si actúas conforme a esta política y a la ley, entenderemos tu investigación como autorizada por nuestra parte (también para efectos de la cláusula de pruebas de seguridad de los términos de servicio) y no iniciaremos ni impulsaremos acciones legales contra ti por ella. Esta autorización cubre solo lo que es nuestro: no obliga a terceros (por ejemplo, proveedores o la organización cuyos equipos y redes alojan o rodean el servicio) ni nos impide atender un requerimiento de una autoridad o actuar si el informe se usa para dañar.

Reglas para una investigación responsable:

• Usa solo tus propias cuentas o cuentas de prueba que hayas creado. Limítate a lo necesario para demostrar el problema.
• No accedas, copies, conserves, modifiques ni borres datos de otras personas. Si te topas con ellos, detente, no los guardes ni los compartas, y avísanos.
• No hagas pruebas de denegación de servicio, ráfagas de solicitudes, envío masivo de correos ni escaneos automáticos masivos.
• No uses ingeniería social, ataques físicos ni phishing contra el equipo o las personas usuarias, ni instales código persistente en el servicio.
• No divulgues el problema públicamente ni a terceros hasta que lo hayamos corregido o acordemos una fecha, y no exijas pagos a cambio de no divulgarlo.

Alcance: la aplicación web de ModIA en modia-app.com, pre.modia-app.com e invitados.modia-app.com. Quedan fuera: los servicios de terceros que usamos (red y DNS, control de acceso, envío de correo, inteligencia artificial, alojamiento), la infraestructura y las redes que los sostienen, y los equipos o cuentas de las personas usuarias; esos problemas se informan a cada proveedor o titular. Tampoco consideramos hallazgos los informes automáticos sin demostración de impacto ni las cabeceras o configuraciones de bajo riesgo sin una forma de explotarlas.

Hoy no ofrecemos recompensas económicas ni otra compensación. Enviar un informe no crea una relación laboral, contractual ni obligación de pago, y nos autorizas a usar la información del informe para corregir el problema.

También publicamos estos datos en el formato estándar security.txt.

Consulta además la política de privacidad y los términos de servicio.