SECURITY

Seguridad

Última actualización · 15 de mayo de 2026

Seguridad

Cuando conectas tu cuenta de Meta a Lanza, nos confías algo serio: el control de tus campañas publicitarias y, con ello, una parte importante de tu negocio.

Tomamos esa confianza muy en serio. Esta página explica, sin tecnicismos innecesarios, cómo protegemos tus datos y tus conexiones.

Resumen rápido

  • Los tokens de OAuth de Meta y Google se guardan cifrados con AES-256.
  • Todo el tráfico va por HTTPS con TLS 1.2 o superior.
  • Pedimos solo los permisos mínimos necesarios para que el producto funcione.
  • Aplicamos aislamiento multi-tenant con Row Level Security en Postgres.
  • Llevamos logs de auditoría de toda acción crítica.
  • Puedes revocar conexiones cuando quieras desde Settings.
  • Nunca compartimos tus credenciales con terceros comerciales.
  • Hacemos backups automáticos con cifrado.
  • Tenemos un programa de divulgación responsable para vulnerabilidades.
  • Revisamos nuestras prácticas de seguridad al menos trimestralmente.

1. Cifrado de datos

En reposo

  • La base de datos principal corre en Supabase / Postgres, con cifrado en reposo AES-256 a nivel de disco.
  • Los tokens de OAuth (Meta, Google) se almacenan con una capa de cifrado adicional a nivel de aplicación. Esto significa que ni siquiera con acceso directo a la base de datos los tokens son legibles en texto plano. La clave de cifrado vive separada en un gestor de secretos y se rota periódicamente.
  • Los secrets y API keys internos se gestionan con un servicio dedicado de secretos (no se versionan, no se loguean).

En tránsito

  • Todo el tráfico entre tu navegador y Lanza viaja por HTTPS con TLS 1.2 o superior.
  • Las conexiones internas entre nuestros servicios y las APIs de Meta, Anthropic, Black Forest Labs, Stripe, etc. también van siempre por TLS.
  • Forzamos HSTS en todos los dominios.

2. Permisos mínimos (principio de menor privilegio)

Lanza pide solo los scopes que necesita, ni uno más.

Meta (Facebook + Instagram Ads)

Pedimos:

  • ads_management — para crear y administrar campañas, ad sets y ads.
  • ads_read — para leer métricas.
  • business_management — para listar tus Business Managers y assets.
  • pages_read_engagement — para leer información básica de tus pages.

No pedimos: acceso a mensajes privados, contactos personales, contenido fuera de publicidad, ni capacidades de moderación de tus páginas.

Google

Si entras con Google Login, pedimos solo:

  • Tu email.
  • Tu perfil público básico (nombre, foto).

No pedimos: Gmail, Drive, Calendar, Contacts, ni ningún otro servicio. Nuestro uso cumple con la política de Limited Use de Google.

3. Aislamiento multi-tenant

Cada usuario en Lanza tiene un identificador único y todos los registros de su cuenta están vinculados a ese ID.

Aplicamos Row Level Security (RLS) a nivel de Postgres. Esto significa que:

  • Una consulta hecha en nombre del usuario A nunca puede devolver datos del usuario B.
  • Incluso si una capa intermedia tuviera un bug, la base de datos misma rechazaría la consulta.
  • Los administradores internos tienen permisos separados y registrados.

4. Control de accesos internos

  • Acceso a producción solo para personal autorizado.
  • Autenticación de dos factores (2FA) obligatoria en cuentas administrativas.
  • Acceso justo a tiempo (just-in-time) cuando un ingeniero necesita inspeccionar sistemas.
  • Todos los accesos administrativos quedan registrados y auditados.
  • Rotamos credenciales internas cuando alguien deja el equipo.

5. Auditoría y logs

Llevamos logs de:

  • Inicios de sesión y eventos de autenticación.
  • Cambios en conexiones (conectar/desconectar Meta o Google).
  • Acciones críticas: crear campañas, activar campañas, modificar billing, eliminar cuenta.
  • Accesos administrativos.
  • Errores de seguridad (intentos de login fallidos, accesos sospechosos).

Estos logs:

  • Se conservan hasta 24 meses y luego se anonimizan o eliminan.
  • No contienen tu contenido publicitario (briefs, prompts, creativos).
  • Se almacenan separados de los datos productivos.
  • Solo personal autorizado puede consultarlos.

6. Tú controlas las conexiones

En cualquier momento puedes:

  • Desconectar Meta desde Settings → Conexiones. Esto revoca el token de inmediato.
  • Desconectar Google desde Settings → Conexiones.
  • Revocar el acceso de Lanza directamente desde Meta o Google si prefieres hacerlo allí.

Cuando revocas:

  • El token deja de funcionar inmediatamente.
  • Nuestras credenciales OAuth para tu cuenta se eliminan en menos de 24 horas.
  • Tus datos en Lanza permanecen hasta que decidas borrarlos individualmente o cierres la cuenta.

7. Sin compartir credenciales

Nunca compartimos tus credenciales (tokens, contraseñas, claves) con:

  • Anunciantes.
  • Redes publicitarias.
  • Brokers de datos.
  • Plataformas de inteligencia comercial.
  • Cualquier otra empresa que no sea estrictamente necesaria para que el servicio funcione.

Los únicos terceros que reciben fragmentos limitados de información están listados en la Política de privacidad y operan como procesadores sujetos a contratos de tratamiento de datos.

8. Pagos seguros (Stripe)

Toda la información de pago se procesa con Stripe, que es PCI-DSS Nivel 1 (la certificación más alta de la industria de pagos).

Lanza no ve, no toca y no almacena tu número de tarjeta, CVV ni fecha de vencimiento. Solo guardamos un ID opaco que apunta a tu cliente y suscripción en Stripe.

9. Backups y recuperación

  • Hacemos backups automáticos de la base de datos en intervalos diarios.
  • Los backups están cifrados y se guardan en una región geográficamente distinta para resiliencia.
  • Probamos los procedimientos de restauración periódicamente.
  • Los backups se retienen por 30 días y luego se rotan.
  • En caso de un evento catastrófico, nuestro RTO objetivo es de 4 horas y nuestro RPO objetivo es de 24 horas.

10. Endurecimiento del producto

  • Implementamos rate limiting y detección de abuso.
  • Tenemos protección contra CSRF y headers de seguridad modernos (Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options).
  • Validamos y sanitizamos todas las entradas de usuario.
  • Usamos dependencias monitoreadas: alertas automáticas si una librería tiene una vulnerabilidad conocida.
  • Mantenemos los sistemas operativos y runtime actualizados.

11. Inteligencia artificial: confidencialidad

Tus prompts y creativos pasan por Anthropic (texto) y Black Forest Labs (imágenes). Por contrato:

  • Anthropic no usa los inputs ni outputs de la API para entrenar modelos.
  • Black Forest Labs no usa los inputs ni outputs de la API para entrenar modelos.

Solo enviamos a estos proveedores el mínimo de contenido necesario para producir el resultado. Nada de tus credenciales OAuth, datos de pago o información personal pasa por la API de IA.

12. Divulgación responsable de vulnerabilidades

Si descubres una vulnerabilidad en Lanza, nos encantaría escucharla.

Cómo reportar

Email: security@impulsapr.com

Si la vulnerabilidad es sensible, puedes cifrar tu mensaje con PGP: nuestra clave pública está disponible en https://lanza.impulsapr.com/.well-known/security.txt (próximamente).

Qué pedimos

  • Que no exploites la vulnerabilidad más allá de lo necesario para demostrarla.
  • Que no accedas a datos de otros usuarios.
  • Que no publiques la vulnerabilidad antes de que tengamos tiempo razonable para arreglarla (usualmente 90 días, o antes si llegamos a un acuerdo).
  • Que no uses ransomware, DDoS o ingeniería social.

Qué te ofrecemos

  • Confirmación de recepción en 24 horas hábiles.
  • Triage y diagnóstico en 5 días hábiles.
  • Comunicación regular sobre el progreso del fix.
  • Reconocimiento público (si lo deseas) en nuestro Hall of Fame.
  • Recompensa, en casos serios y a nuestra discreción (programa de bug bounty informal).

13. Frecuencia de revisión de seguridad

  • Revisión interna mensual de logs, accesos y alertas.
  • Auditoría completa de prácticas de seguridad cada trimestre.
  • Penetration testing anual externo.
  • Revisión de dependencias automatizada (semanal).
  • Revisión de la política de seguridad anual o cuando ocurra un cambio mayor.

Cuando Lanza alcance la madurez para certificaciones formales (SOC 2 Tipo II, ISO 27001), las anunciaremos públicamente.

14. Notificación de incidentes

Si llegara a ocurrir un incidente de seguridad que afecte tus datos personales:

  • Te notificaremos por email a la brevedad posible y, en cualquier caso, dentro de las 72 horas desde que detectemos la situación.
  • Te explicaremos qué pasó, qué datos se vieron afectados, qué hicimos y qué puedes hacer tú.
  • Notificaremos también a las autoridades de protección de datos competentes cuando la ley lo exija.

Contacto

Última actualización: 15 de mayo de 2026.