Dónde viven tus datos y quién puede verlos
Un programa de facturación guarda lo más delicado que tiene una empresa: a quién le vendes, cuánto le cobras y cuánto ganas. Esta página cuenta qué se hace para protegerlo, y también lo que todavía no está hecho.
Cuatro cosas, sin rodeos
Si sólo vas a leer un párrafo de esta página, que sea éste.
En la Unión Europea
Servidores y copias dentro de la Unión Europea. No hay réplica fuera del Espacio Económico Europeo, así que no hace falta ninguna cláusula que justifique una transferencia internacional.
Copia diaria
Una copia completa cada día, guardada aparte del servidor que atiende las peticiones. Se comprueba que restaura: una copia que nunca se ha restaurado no es una copia, es una carpeta.
Cifrado en tránsito
Todo va por HTTPS con TLS. La sesión viaja en una cookie httpOnly y secure, que el JavaScript de la página no puede leer.
Salida sin permiso
Contactos, productos, facturas, gastos, libros e informes se exportan a CSV y Excel desde tu cuenta, sin pedirlo ni esperar a nadie.
Control de acceso por usuario y por rol
El riesgo más real de un ERP pequeño no es un ataque: es que el becario vea los márgenes o que alguien anule una factura y nadie sepa quién fue.
Tres roles y permisos por área
Cada persona entra con su cuenta y lleva un rol: propietario, administrador o miembro. El miembro factura y gestiona contactos y gastos, pero no ve costes ni toca los ajustes. Desde ahí se afina persona a persona.
- Ver, crear, editar y eliminar se conceden por separado en cada área.
- Registrar en VeriFactu es un permiso propio, porque es irreversible.
- Ver costes y márgenes va aparte de ver productos.
- Exportar se puede denegar sin quitar el acceso a leer.
Registro de actividad
Quién anuló una factura, quién cambió un precio de tarifa, quién dio de alta a ese proveedor. Se consulta desde el programa filtrando por usuario, por texto y por fechas, se descarga en CSV, y hay un permiso específico para verlo.
No es desconfianza: es poder reconstruir un error de hace tres semanas en dos minutos, y en una inspección, demostrar quién tocó qué.
Y además, roles propios
Sobre los tres roles se pueden guardar roles propios de tu empresa con su lista de permisos, y aplicarlos a quien corresponda. Viene hecho el de asesoría: lee facturas, gastos, contactos, libros, modelos e informes, y no puede crear, cambiar ni borrar nada, ni ver usuarios, suscripción ni ajustes.
Qué le pasa a una factura desde que la emites
Para saber dónde está el dato en cada momento, y qué lo protege en cada tramo.
Diagrama en cuatro bloques del recorrido de una factura en Cairos: navegador con HTTPS, servidor de aplicación en la Unión Europea, base de datos separada por empresa y copia diaria guardada aparte. Estilo de línea, colores del sistema, sin fotografía.
En el servidor, la factura se guarda asociada a tu empresa, y cada empresa está separada de las demás: un usuario de una organización no puede pedir un documento de otra ni cambiando el identificador en la dirección. Al guardarla se calcula la huella encadenada de VeriFactu, que hace detectable cualquier modificación posterior.
Cuando te la llevas, exportas en CSV o Excel desde tu cuenta, cuando quieras y sin avisar. Ésta es la otra mitad de la seguridad, la que casi nadie cuenta: un programa que guarda muy bien tus datos pero no te deja sacarlos te está protegiendo de todo el mundo menos de él.
Quién responde de qué
La parte que más se malinterpreta, y la que te preguntarán el día que un cliente tuyo ejerza sus derechos.
| De qué datos hablamos | Quién es responsable | Quién es encargado |
|---|---|---|
| Los datos de tus clientes, proveedores, socios y empleados que metes en el programa | Tú. Tú los recoges, tú decides para qué se usan y ante ti ejercen sus derechos | Cairos, que los trata sólo por cuenta tuya y para darte el servicio |
| Los datos de tu cuenta: tu nombre, tu correo, tu empresa, tu suscripción y tus facturas | Cairos, porque decide para qué se usan (prestarte el servicio y cobrarte) | Los proveedores de alojamiento y de pago, cada uno con su contrato |
| Lo que deja tu visita a cairos.es | Cairos, aunque aquí hay bien poco: esta web no lleva analítica ni publicidad | El proveedor de alojamiento de la web |
La consecuencia práctica: si un cliente tuyo pide que borres sus datos, te lo pide a ti y lo haces tú desde el programa. Como encargado, Cairos firma contigo el encargo del artículo 28 del RGPD, que está en privacidad y en las condiciones.
Lo que todavía no tenemos
Una página de seguridad que sólo enumera virtudes no informa de nada. Esto es lo que falta, a día de hoy.
Todavía no está
- Certificaciones: ni ISO 27001, ni SOC 2, ni ENS. No las tenemos y no las vamos a insinuar.
- Auditoría externa de seguridad hecha por un tercero y publicada.
- Entrar con Google o Microsoft, ni inicio de sesión único corporativo.
- Restringir el acceso por dirección IP o por horario.
- Aviso automático cuando alguien entra desde un aparato nuevo.
Sí está
- Servidores y copias dentro de la Unión Europea.
- Copia completa diaria, guardada aparte y comprobada.
- HTTPS con TLS, y cookie de sesión
httpOnlyysecure. - Doble factor con código de un solo uso y códigos de recuperación.
- Ver las sesiones abiertas y cerrarlas desde tu cuenta.
- Permisos por área y por usuario, roles propios y registro de actividad.
- Copia de toda la empresa en un ZIP, y exportación a CSV y Excel.
- Papelera de treinta días para lo borrado por error.
Preguntas frecuentes
Tus datos, y la puerta abierta
La mejor garantía de que un programa te trata bien no es lo que promete: es que puedas irte con todo cuando quieras. En Cairos exportar es gratis y está en tu cuenta.
¿Has encontrado una vulnerabilidad? Escríbenos a info@cairos.es con el asunto «Seguridad»