Dónde viven tus datos y quién puede verlos
Un programa de facturación guarda lo más delicado que tiene una empresa: a quién le vendes, cuánto le cobras y cuánto ganas. Esta página cuenta qué se hace para protegerlo, y también lo que todavía no está hecho.
Cuatro cosas, sin rodeos
Si sólo vas a leer un párrafo de esta página, que sea éste.
En la Unión Europea
Servidores y copias dentro de la Unión Europea. No hay réplica fuera del Espacio Económico Europeo, así que no hace falta ninguna cláusula que justifique una transferencia internacional.
Copia diaria
Una copia completa cada día, guardada aparte del servidor que atiende las peticiones. Se comprueba que restaura: una copia que nunca se ha restaurado no es una copia, es una carpeta.
Cifrado en tránsito
Todo va por HTTPS con TLS. La sesión viaja en una cookie httpOnly y secure, que el JavaScript de la página no puede leer.
Salida sin permiso
Contactos, productos, facturas, gastos, libros e informes se exportan a CSV y Excel desde tu cuenta, sin pedirlo ni esperar a nadie.
Control de acceso por usuario y por rol
El riesgo más real de un ERP pequeño no es un ataque: es que el becario vea los márgenes o que alguien anule una factura y nadie sepa quién fue.
Tres roles y permisos por área
Cada persona entra con su cuenta y lleva un rol: propietario, administrador o miembro. El miembro factura y gestiona contactos y gastos, pero no ve costes ni toca los ajustes. Desde ahí se afina persona a persona.
- Ver, crear, editar y eliminar se conceden por separado en cada área.
- Registrar en VeriFactu es un permiso propio, porque es irreversible.
- Ver costes y márgenes va aparte de ver productos.
- Exportar se puede denegar sin quitar el acceso a leer.
Registro de actividad
Quién anuló una factura, quién cambió un precio de tarifa, quién dio de alta a ese proveedor. Se consulta desde el programa y se descarga en CSV, y hay un permiso específico para verlo.
No es desconfianza: es poder reconstruir un error de hace tres semanas en dos minutos, y en una inspección, demostrar quién tocó qué.
Lo que aquí falta
El registro es hoy una lista corrida: falta poder filtrarlo por usuario y por documento. Y los roles son esos tres, sin roles personalizados. Las dos cosas están en la lista.
Qué le pasa a una factura desde que la emites
Para saber dónde está el dato en cada momento, y qué lo protege en cada tramo.
Diagrama en cuatro bloques del recorrido de una factura en Cairos: navegador con HTTPS, servidor de aplicación en la Unión Europea, base de datos separada por empresa y copia diaria guardada aparte. Estilo de línea, colores del sistema, sin fotografía.
En el servidor, la factura se guarda asociada a tu empresa, y cada empresa está separada de las demás: un usuario de una organización no puede pedir un documento de otra ni cambiando el identificador en la dirección. Al guardarla se calcula la huella encadenada de VeriFactu, que hace detectable cualquier modificación posterior.
Cuando te la llevas, exportas en CSV o Excel desde tu cuenta, cuando quieras y sin avisar. Ésta es la otra mitad de la seguridad, la que casi nadie cuenta: un programa que guarda muy bien tus datos pero no te deja sacarlos te está protegiendo de todo el mundo menos de él.
Quién responde de qué
La parte que más se malinterpreta, y la que te preguntarán el día que un cliente tuyo ejerza sus derechos.
| De qué datos hablamos | Quién es responsable | Quién es encargado |
|---|---|---|
| Los datos de tus clientes, proveedores, socios y empleados que metes en el programa | Tú. Tú los recoges, tú decides para qué se usan y ante ti ejercen sus derechos | Cairos, que los trata sólo por cuenta tuya y para darte el servicio |
| Los datos de tu cuenta: tu nombre, tu correo, tu empresa, tu suscripción y tus facturas | Cairos, porque decide para qué se usan (prestarte el servicio y cobrarte) | Los proveedores de alojamiento y de pago, cada uno con su contrato |
| Lo que deja tu visita a cairos.es | Cairos, aunque aquí hay bien poco: esta web no lleva analítica ni publicidad | El proveedor de alojamiento de la web |
La consecuencia práctica: si un cliente tuyo pide que borres sus datos, te lo pide a ti y lo haces tú desde el programa. Como encargado, Cairos firma contigo el encargo del artículo 28 del RGPD, que está en privacidad y en las condiciones.
Lo que todavía no tenemos
Una página de seguridad que sólo enumera virtudes no informa de nada. Esto es lo que falta, a día de hoy.
Todavía no está
- Doble factor de autenticación. La carencia más seria, y la primera de la lista.
- Ver y cerrar tus sesiones abiertas desde tu cuenta.
- Certificaciones: ni ISO 27001, ni SOC 2, ni ENS. No las tenemos y no las vamos a insinuar.
- Copia descargable de la empresa entera en un fichero: hoy se exporta por listados.
- Roles personalizados y auditoría externa publicada.
Sí está
- Servidores y copias dentro de la Unión Europea.
- Copia completa diaria, guardada aparte y comprobada.
- HTTPS con TLS, y cookie de sesión
httpOnlyysecure. - Permisos por área y por usuario, más el registro de actividad.
- Exportación completa a CSV y Excel desde tu propia cuenta.
- Papelera de treinta días para lo borrado por error.
Preguntas frecuentes
Tus datos, y la puerta abierta
La mejor garantía de que un programa te trata bien no es lo que promete: es que puedas irte con todo cuando quieras. En Cairos exportar es gratis y está en tu cuenta.
¿Has encontrado una vulnerabilidad? Escríbenos a hola@cairos.es con el asunto «Seguridad»