Seguridad y protección de datos

Última actualización: 9 de octubre de 2026

En Boxinger protegemos los datos de cada cliente y de sus usuarios con aislamiento estricto, cifrado y minimización de datos, bajo la Ley 25.326 de Protección de los Datos Personales (Argentina) y con un enfoque alineado al estándar GDPR. Esta página resume cómo lo hacemos. Para clientes empresariales ofrecemos además un Acuerdo de Tratamiento de Datos (DPA) firmable.

1. Aislamiento entre clientes

Cada cliente accede únicamente a sus propios datos. El aislamiento no depende del código de la aplicación: está forzado en la base de datos con Seguridad a Nivel de Fila (Row Level Security) de PostgreSQL, que filtra cada consulta por el usuario autenticado antes de devolver un solo registro. En la práctica, un usuario de un cliente nunca puede ver las ideas, votos, comentarios ni miembros de otro cliente, aunque intente manipular la aplicación desde su navegador.

2. Cifrado

• En tránsito: todo el tráfico viaja por HTTPS/TLS. El acceso por HTTP se redirige automáticamente a HTTPS y se aplica HSTS (conexión segura forzada).
• En reposo: los datos se almacenan cifrados en la infraestructura de Supabase (sobre AWS).
• Contraseñas: se guardan cifradas (hash); no podemos verlas ni recuperarlas.

3. Uso de los datos

No vendemos ni alquilamos datos, no hacemos publicidad de terceros y no construimos perfiles comerciales. Solo tratamos los datos para prestar el servicio contratado y según el consentimiento del usuario. No usamos cookies publicitarias. Solo en las páginas públicas, y si el visitante acepta el aviso de cookies, usamos Microsoft Clarity para estadísticas de navegación; nunca dentro de la app, donde están los buzones y las ideas.

4. Asistente de IA y tus datos

El asistente de IA está disponible solo en los planes Team y Enterprise y se usa cuando el equipo decide activarlo. Cuando se usa, se envía al proveedor del modelo (Anthropic) solo el texto de las ideas del buzón, su descripción y los votos y comentarios contados, sin nombres ni emails de los usuarios. Anthropic no usa estos datos para entrenar sus modelos. Si el asistente no se activa, no se envía nada a la IA.

5. Minimización de datos

Recopilamos solo lo necesario para que el servicio funcione. En particular, no guardamos direcciones IP de los usuarios: de los formularios públicos conservamos únicamente un identificador cifrado de la conexión, usado para prevenir abusos. Los datos de tarjeta nunca llegan a Boxinger: los procesan directamente las pasarelas de pago (Creem o Mercado Pago).

6. Derechos de los titulares y borrado

• Acceso y rectificación: los usuarios pueden ver y corregir los datos de su cuenta y perfil desde Mi perfil.
• Eliminación: las ideas, los equipos y las cuentas se pueden borrar, junto con sus datos asociados.
• Trazabilidad: las acciones administrativas quedan en un registro de auditoría (quién hizo qué y cuándo).

7. Proveedores (sub-encargados)

Para operar el servicio compartimos los datos necesarios con estos proveedores, que los tratan por cuenta nuestra y con medidas de seguridad adecuadas:

• Supabase: base de datos, autenticación y archivos, con servidores en Estados Unidos.
• Hostinger: alojamiento de la web y envío de emails.
• Anthropic: asistente de IA (solo Team y Enterprise; texto de ideas sin datos personales).
• Creem y Mercado Pago: procesamiento de pagos. Creem actúa como revendedor en los pagos en dólares.
• Microsoft Clarity: estadísticas de uso de las páginas públicas (no de la app).

Ante cualquier cambio de sub-encargados lo notificamos a los clientes Enterprise. La lista vigente forma parte del DPA.

8. Marco legal, residencia y contacto

• Marco legal: cumplimos la Ley 25.326 de Protección de los Datos Personales (Argentina), con un enfoque alineado al estándar GDPR. Contamos con Política de privacidad y Términos publicados.
• Residencia de datos: los datos se alojan principalmente en Estados Unidos (Supabase/AWS). Si tu organización requiere una región específica, consultanos.
• Incidentes: ante un incidente que afecte datos personales, notificamos a los clientes afectados.
• DPA y contacto: ofrecemos un Acuerdo de Tratamiento de Datos firmable para clientes Enterprise. Para solicitarlo o para consultas de privacidad, escribinos a hola@boxinger.com.

Página informativa, no contractual. La relación de tratamiento de datos con cada cliente se rige por el DPA firmado entre las partes.