Seguridad
Tus datos y los de tus pasajeros, bajo llave.
Qué hacemos para que cada empresa vea solo lo suyo, quién puede entrar a qué, qué queda registrado y dónde viven los datos. Con hechos que se pueden comprobar, no con sellos.
Cómo está hecho
Lo que protege tus datos
Cada empresa ve solo lo suyo
Para quien entra con su usuario, el aislamiento lo impone la propia base de datos, con reglas por empresa en cada tabla con datos. En los accesos por enlace o por código lo impone el servidor, que acota cada consulta. No depende de que una pantalla esconda algo.
Permisos por persona
Propietario, administrador, editor, visualizador o permisos a medida por área. Se comprueban en la pantalla, en el servidor y en la base de datos.
Contraseñas filtradas, rechazadas
Al crear o cambiar una contraseña, tu navegador comprueba, sin enviarla, que no aparezca en filtraciones conocidas. Si ese servicio no responde, la comprobación se omite. Mínimo 8 caracteres.
Registro de actividad
Quién cambió qué en tus reservas y configuración, con el antes y el después. Y el rastro de lo que hace cada acceso de tus clientes en su portal, 7 días.
Soporte auditado
Si nuestro equipo entra en tu cuenta para ayudarte, queda registrado quién, cuándo y por qué motivo. Las búsquedas en nuestra consola interna también quedan registradas.
Documentos y fotos privados
Los archivos se guardan en almacenes privados y se abren con enlaces firmados que caducan.
Cabeceras de seguridad
Política de seguridad de contenido con nonce en el panel, la app del conductor, los portales y los enlaces públicos, y el resto de cabeceras habituales.
Claves de la API por permiso
Cada clave abre solo lo que se le concede, con límites de peticiones y avisos por webhook firmados.
Alojamiento
Dónde se guardan los datos
La base de datos y los archivos de producción están en la región eu-west-1 (Irlanda, Unión Europea) de nuestro proveedor de base de datos, Supabase, sobre AWS. Las funciones del servidor se ejecutan en la región de Dublín de Vercel; el contenido estático lo distribuye la red de Vercel.
Para enviar correos, pintar mapas, buscar direcciones y limitar las peticiones abusivas usamos otros proveedores. La lista está en la política de privacidad.
Conductores
La ubicación del conductor, con límites
La posición del conductor solo se comparte desde que marca «de camino» hasta que finaliza el servicio, y solo con la app abierta. Antes de la primera vez, la app le informa con un aviso en pantalla. La ven su empresa y, si esta lo tiene activado, el pasajero de ese servicio y el cliente que hizo la reserva. El recorrido se borra a los 30 días, igual que las fotos y los tickets de gasto apuntados en un servicio. La foto de un no-show no se borra sola: es la prueba del servicio ante el cliente. Al fichar la jornada, se guarda la posición de ese instante solo si el conductor ha dado permiso de ubicación a la app.
Informar a los conductores es cosa de su empresa. Qué exige la norma, con un texto modelo, en fotos geolocalizadas y registro de jornada.
Si encuentras algo
Cómo avisarnos de un fallo de seguridad
Escríbenos a info@wearetransfers.com. El contacto está publicado también en security.txt. Te respondemos una persona, no un formulario.
Sin letra pequeña
Lo que no te vamos a decir
- Que tenemos certificacionesNo tenemos ISO 27001 ni ENS. Si algún día las tenemos, estarán aquí con su número.
- Que hay doble factor en el accesoHoy la entrada a las cuentas es con correo y contraseña: el acceso no pide un segundo factor.
- Que todo está en la UELa base de datos y las funciones del servidor, sí. Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo: la lista de proveedores está en la política de privacidad.
- Un plazo de conservación del registro de actividadTodavía no está fijado.
Lo que nos preguntan
¿Otra empresa de la bolsa puede ver mis clientes?
No en el listado: la bolsa abierta enseña el trayecto, la hora y el vehículo que hace falta; no enseña tu nombre, tu cliente ni tu precio de venta. Una oferta que envías a un compañero concreto sí lleva tu número de conductor, y la empresa que acepta un servicio recibe los datos de esa reserva para poder prestarlo. Fuera de eso, cada empresa solo ve sus datos.
¿Dónde están mis datos?
La base de datos y los archivos de producción, en Irlanda (región eu-west-1, Unión Europea). Las funciones del servidor se ejecutan en Dublín.
¿Puede vuestro equipo entrar en mi cuenta?
Solo para darte soporte, y queda registrado quién, cuándo y con qué motivo.
¿Hay doble factor?
Hoy no: se entra con correo y contraseña. La contraseña se comprueba contra filtraciones conocidas al crearla.
¿Qué pasa con mis datos si me doy de baja?
Pedir la baja no borra los datos en ese momento y no hay un borrado automático: cada solicitud la tramita nuestro equipo. Los datos se conservan solo el tiempo necesario para obligaciones legales o contractuales, facturación y contabilidad, incidencias y fraude, y reclamaciones. Lo que la ley obliga a guardar queda bloqueado durante los plazos legales. Cuando los datos dejan de ser necesarios, se eliminan o se anonimizan. El detalle está en la política de privacidad.
¿Quién es responsable de los datos de mis pasajeros?
Tu empresa, que es quien presta el transporte. WAT los trata por tu encargo para que puedas gestionar tus reservas.
¿Tienes una pregunta de seguridad concreta?
Escríbenos y te contestamos con el detalle técnico que necesites.