Política de Seguridad de la Información

Versión 1.0 · Vigente desde el 17 de agosto de 2026

Este documento describe las medidas concretas con las que protegemos la información, siguiendo la estructura de las medidas de seguridad recomendadas por la Resolución AAIP 47/2018 y en cumplimiento del artículo 9 de la Ley 25.326.

Está escrito para que un contador pueda evaluarnos antes de confiarnos el trabajo de su estudio. Describe lo que efectivamente hacemos hoy; cuando algo no está resuelto, lo decimos en lugar de omitirlo.

1. Minimización: la mejor protección es no tener el dato

La decisión de seguridad más importante de este sistema se tomó antes de escribir la primera línea de código: el archivo con la facturación de tus clientes no se sube a ningún lado. Se abre y se procesa dentro de tu navegador, en tu propia computadora. Al servidor solo llegan los números de CUIT que hay que buscar en el padrón, y tampoco se guardan.

Es la diferencia entre darle a alguien la llave de tu archivo y no llevarle el archivo. Ninguna medida de protección iguala al dato que nunca se transmitió: no se puede filtrar, ni robar, ni pedir por orden judicial, ni perder en una brecha.

Por eso los datos que efectivamente custodiamos son pocos: tu correo, tu clave cifrada, el nombre de tu estudio y el vínculo con tu suscripción.

2. Control de acceso

El registro público está cerrado. Nadie puede crearse una cuenta por su cuenta: las cuentas nacen de una contratación y las crea el sistema de cobro.
Las contraseñas se guardan cifradas de forma irreversible, mediante el proveedor de autenticación. No las conocemos y no hay forma de recuperarlas: si las olvidás, se generan nuevas, no se muestran las viejas.
Cada usuario ve únicamente lo suyo. La separación no está en la interfaz —donde sería fácil de esquivar— sino en la base de datos misma, con reglas de seguridad a nivel de fila que se aplican a cualquier consulta, venga de donde venga.
La tabla con datos de suscriptores no es accesible desde el navegador. Tiene los permisos revocados y sin políticas de acceso: solo la tocan las funciones del servidor que procesan los pagos.
El padrón es de solo lectura para las cuentas de usuario. Los permisos de escritura están revocados; solo el proceso de carga puede modificarlo.
Las claves de administración viven en el gestor de secretos del proveedor, nunca en el código ni en el repositorio, y solo las usan procesos del servidor.

3. Cifrado y transporte

Todo el tráfico viaja cifrado por HTTPS/TLS, tanto el sitio como la aplicación y las consultas a la base.
Los datos en reposo están cifrados por la infraestructura de nuestros proveedores de base de datos y alojamiento.
Los datos de tarjeta nunca tocan nuestros sistemas. El pago ocurre íntegramente en Mercado Pago, que es una entidad especializada y certificada para eso. Nosotros recibimos la confirmación, no el número.

4. Control de cambios

Todo el código está en un repositorio privado con control de versiones: cada cambio queda registrado con su autor, su fecha y el motivo. Siempre se puede saber qué cambió y volver atrás.
Los despliegues se hacen desde ese código versionado, no editando archivos en el servidor.
Las partes críticas —la validación de los avisos de cobro, el alta y la baja de cuentas— tienen chequeos automáticos que se corren antes de publicar un cambio.

5. Respaldo y recuperación

El padrón es reconstruible. Es información pública de AGIP y el proceso de carga es automático: ante una pérdida se vuelve a bajar y a procesar. No depende de un respaldo.
El código está replicado en el repositorio remoto y en las máquinas de desarrollo. La aplicación entera se puede volver a desplegar desde ahí.
Los datos de cuentas y suscripciones son el único activo que no se puede regenerar solo, y por eso tienen respaldo diario automático en una infraestructura distinta de la que aloja la base: un respaldo guardado en la misma casa que el original no es un respaldo. Se conservan los últimos 60 días, con acceso restringido al administrador del servidor.
La información de cobro está además en Mercado Pago, que la conserva por su cuenta.

6. Gestión de vulnerabilidades

Mantenemos las dependencias actualizadas y revisamos los avisos de seguridad de las que usamos.
La superficie de ataque se mantiene deliberadamente chica: pocas dependencias, sin componentes de terceros en la aplicación y sin almacenar lo que no hace falta.
Si encontrás una vulnerabilidad, escribinos a contacto@iamautom.com. Respondemos, la investigamos y no iniciamos acciones contra quien reporte de buena fe y sin dañar datos de terceros.

7. Incidentes de seguridad

Si ocurre un incidente que afecte datos personales:

Contenemos primero: cerrar el acceso indebido y detener lo que esté en curso.
Evaluamos el alcance: qué datos, de quiénes, durante cuánto tiempo.
Avisamos a los afectados por correo, contando qué pasó, qué datos involucró y qué recomendamos hacer. Sin eufemismos y sin esperar a tener todas las respuestas: primero el aviso, después el detalle.
Notificamos a la autoridad de control cuando corresponda, y colaboramos con lo que requiera.
Corregimos la causa y dejamos registro de qué se cambió para que no vuelva a pasar.

8. Destrucción de datos

Cuando cancelás la suscripción, al terminar el período pagado la cuenta se elimina: no se desactiva ni se archiva. Se conserva solo el registro de la suscripción que exigen las obligaciones contables y fiscales.

Se borra en lugar de desactivarse por una razón práctica: una cuenta desactivada cuya clave sigue funcionando no es una baja, es una puerta abierta que nadie mira.

9. Confidencialidad de las personas

Todas las personas con acceso a los sistemas están alcanzadas por el deber de secreto profesional del artículo 10 de la Ley 25.326, obligación que subsiste aun después de terminada la relación con nosotros. El acceso se otorga por necesidad concreta y se revoca cuando esa necesidad termina.

10. Proveedores

Nos apoyamos en proveedores de infraestructura para el alojamiento, la base de datos, el envío de correos y el cobro. Están enumerados uno por uno, con qué recibe cada uno y en qué país está, en la Política de Privacidad. Elegimos servicios establecidos, con prácticas de seguridad publicadas, y les damos el mínimo dato que necesitan para cumplir su función.

11. Lo que esta política no promete

Ser serio incluye no exagerar. A la fecha de esta versión:

No tenemos certificaciones como ISO 27001 ni SOC 2. Somos un producto chico y decirlo es más útil que sugerir lo contrario.
No comprometemos un porcentaje de disponibilidad. Ver el punto 8 de los Términos y Condiciones.
No hay todavía segundo factor de autenticación para las cuentas de usuario. Está en la lista de mejoras.

Si tu estudio necesita garantías adicionales por el tipo de información que maneja, escribinos y lo conversamos de frente.

12. Revisión

Esta política se revisa al menos una vez al año y cada vez que haya un cambio relevante en la arquitectura o en los proveedores. Las versiones se publican acá con su fecha de vigencia.