Seguridad

• Sin micrófono y nada sobre lo que se reproduce. Ni contactos, ni fotos, ni mensajes, ni identificadores publicitarios.
• Los datos de movimiento en bruto de los auriculares se convierten en un estado de postura en el propio teléfono y nunca salen de él. Solo se sincronizan los cambios de estado y los resúmenes de sesión.
• La ubicación solo se registra en el momento en que un auricular se cae o se olvida (más actualizaciones de baja precisión si activas la supervisión en segundo plano), y las ubicaciones de esos eventos se borran a los 7 días.
• El estado en directo caduca a los 10 minutos; las muestras en bruto se conservan 30 días y los datos agregados por minuto, 90 días.

Todo el tráfico entre las apps, el panel web, esta web y nuestros servidores viaja con TLS (HTTPS, con HSTS en nuestras webs). Nuestros servidores están alojados en la UE; las bases de datos, los discos y las copias de seguridad están cifrados en reposo. Las copias de seguridad se cifran, se conservan 30 días y después se sobrescriben.

• Nunca guardamos las contraseñas de forma legible; solo conservamos un hash bcrypt. Las respuestas a las preguntas de seguridad también se cifran con bcrypt y no se vuelven a mostrar nunca.
• Las cuentas de la app usan un PIN de 6 dígitos. Rechazamos los PIN triviales como 111111 o 123456, y varios intentos fallidos seguidos bloquean la cuenta durante un tiempo.
• Iniciar sesión con correo y contraseña siempre termina con un código de un solo uso que te enviamos por correo. El inicio de sesión queda vinculado al dispositivo que lo empezó: no se puede usar un código para completarlo en otro dispositivo.
• Cambiar la contraseña lleva tres pasos: tu contraseña actual (y la respuesta de seguridad), un código por correo y, por último, el nuevo PIN. Las demás sesiones se cierran y recibes un correo de confirmación.
• Iniciar sesión con Apple y con Google usa la verificación del propio proveedor.
• Los niños no tienen correo ni contraseña. Un padre o una madre vincula su dispositivo con un código de 6 dígitos o un QR que solo funciona una vez y caduca a los 10 minutos.

• Límites de frecuencia en el inicio de sesión, el registro, los códigos y otros puntos sensibles.
• Cloudflare Turnstile comprueba que hay una persona detrás del registro, el inicio de sesión, los cambios de contraseña y el formulario de contacto.
• En el panel web, los tokens de sesión se guardan en cookies HttpOnly que los scripts de la página no pueden leer.
• Esta web envía una política de seguridad de contenidos (CSP) estricta, no se deja incrustar en marcos y rechaza los envíos de formularios desde otros sitios.

En cada petición, actualización en directo e informe se comprueba una única regla de autorización: cada persona se ve a sí misma, y un padre o una madre solo ve a los miembros vinculados a su cuenta. Los colegios solo ven medias anónimas de la clase, nunca a un niño concreto.

Dentro del equipo aplicamos el principio de mínimo privilegio: cada persona tiene solo el acceso que necesita para su trabajo. Las cuentas de administración usan contraseñas robustas y verificación en dos pasos, y cada consulta a datos personales queda registrada en un registro de auditoría.

Usamos Sentry para enterarnos de cierres inesperados y errores. Los informes solo llevan un identificador de usuario opaco: ni dirección IP, ni capturas de pantalla, ni jerarquía de vistas, ni nombres ni correos. Los registros y métricas del servidor van a Better Stack; en producción, los códigos de un solo uso nunca se escriben en los registros.

Vigilamos nuestros sistemas y seguimos un proceso de respuesta a incidentes por escrito: contener, investigar, corregir y aprender. Si una brecha de datos personales pone en riesgo tus derechos, lo notificamos a la autoridad de control competente sin dilación indebida (según el RGPD, en un plazo de 72 horas desde que tenemos constancia) y avisamos directamente a las personas afectadas, como exijan las leyes de su país.

• Elige un PIN que no sea tu fecha de cumpleaños ni el que usas para desbloquear el teléfono.
• Protege bien tu cuenta de correo: ahí llegan los códigos de inicio de sesión.
• Escanea solo códigos QR de vinculación creados por tu familia, y vincula los dispositivos de los niños en persona.
• Si recibes un código de inicio de sesión que no has pedido, cambia tu PIN y avísanos.
• Mantén iOS y la app actualizados.

¿Ves algo raro en tu cuenta? Escríbenos a support [at] earbunny.app.