Seguridad

Cuando conectas tu cuenta de Meta a Lanza, nos confías algo serio: el control de tus campañas publicitarias y, con ello, una parte importante de tu negocio.

Tomamos esa confianza muy en serio. Esta página explica, sin tecnicismos innecesarios, cómo protegemos tus datos y tus conexiones.

---

Resumen rápido#

• Los tokens de OAuth de Meta y Google se guardan cifrados con AES-256.
• Todo el tráfico va por HTTPS con TLS 1.2 o superior.
• Pedimos solo los permisos mínimos necesarios para que el producto funcione.
• Aplicamos aislamiento multi-tenant con Row Level Security en Postgres.
• Llevamos logs de auditoría de toda acción crítica.
• Puedes revocar conexiones cuando quieras desde Settings.
• Nunca compartimos tus credenciales con terceros comerciales.
• Hacemos backups automáticos con cifrado.
• Tenemos un programa de divulgación responsable para vulnerabilidades.
• Revisamos nuestras prácticas de seguridad al menos trimestralmente.

---

1. Cifrado de datos#

En reposo

• La base de datos principal corre en Supabase / Postgres, con cifrado en reposo AES-256 a nivel de disco.
• Los tokens de OAuth (Meta, Google) se almacenan con una capa de cifrado adicional a nivel de aplicación. Esto significa que ni siquiera con acceso directo a la base de datos los tokens son legibles en texto plano. La clave de cifrado vive separada en un gestor de secretos y se rota periódicamente.
• Los secrets y API keys internos se gestionan con un servicio dedicado de secretos (no se versionan, no se loguean).

En tránsito

• Todo el tráfico entre tu navegador y Lanza viaja por HTTPS con TLS 1.2 o superior.
• Las conexiones internas entre nuestros servicios y las APIs de Meta, Anthropic, Black Forest Labs, Stripe, etc. también van siempre por TLS.
• Forzamos HSTS en todos los dominios.

---

2. Permisos mínimos (principio de menor privilegio)#

Lanza pide solo los scopes que necesita, ni uno más.

Meta (Facebook + Instagram Ads)

Pedimos:

• ads_management — para crear y administrar campañas, ad sets y ads.
• ads_read — para leer métricas.
• business_management — para listar tus Business Managers y assets.
• pages_read_engagement — para leer información básica de tus pages.

No pedimos: acceso a mensajes privados, contactos personales, contenido fuera de publicidad, ni capacidades de moderación de tus páginas.

Google

Si entras con Google Login, pedimos solo:

• Tu email.
• Tu perfil público básico (nombre, foto).

No pedimos: Gmail, Drive, Calendar, Contacts, ni ningún otro servicio. Nuestro uso cumple con la política de Limited Use de Google.

---

3. Aislamiento multi-tenant#

Cada usuario en Lanza tiene un identificador único y todos los registros de su cuenta están vinculados a ese ID.

Aplicamos Row Level Security (RLS) a nivel de Postgres. Esto significa que:

• Una consulta hecha en nombre del usuario A nunca puede devolver datos del usuario B.
• Incluso si una capa intermedia tuviera un bug, la base de datos misma rechazaría la consulta.
• Los administradores internos tienen permisos separados y registrados.

---

4. Control de accesos internos#

• Acceso a producción solo para personal autorizado.
• Autenticación de dos factores (2FA) obligatoria en cuentas administrativas.
• Acceso justo a tiempo (just-in-time) cuando un ingeniero necesita inspeccionar sistemas.
• Todos los accesos administrativos quedan registrados y auditados.
• Rotamos credenciales internas cuando alguien deja el equipo.

---

5. Auditoría y logs#

Llevamos logs de:

• Inicios de sesión y eventos de autenticación.
• Cambios en conexiones (conectar/desconectar Meta o Google).
• Acciones críticas: crear campañas, activar campañas, modificar billing, eliminar cuenta.
• Accesos administrativos.
• Errores de seguridad (intentos de login fallidos, accesos sospechosos).

Estos logs:

• Se conservan hasta 24 meses y luego se anonimizan o eliminan.
• No contienen tu contenido publicitario (briefs, prompts, creativos).
• Se almacenan separados de los datos productivos.
• Solo personal autorizado puede consultarlos.

---

6. Tú controlas las conexiones#

En cualquier momento puedes:

• Desconectar Meta desde Settings → Conexiones. Esto revoca el token de inmediato.
• Desconectar Google desde Settings → Conexiones.
• Revocar el acceso de Lanza directamente desde Meta o Google si prefieres hacerlo allí.

Cuando revocas:

• El token deja de funcionar inmediatamente.
• Nuestras credenciales OAuth para tu cuenta se eliminan en menos de 24 horas.
• Tus datos en Lanza permanecen hasta que decidas borrarlos individualmente o cierres la cuenta.

---

7. Sin compartir credenciales#

Nunca compartimos tus credenciales (tokens, contraseñas, claves) con:

• Anunciantes.
• Redes publicitarias.
• Brokers de datos.
• Plataformas de inteligencia comercial.
• Cualquier otra empresa que no sea estrictamente necesaria para que el servicio funcione.

Los únicos terceros que reciben fragmentos limitados de información están listados en la Política de privacidad y operan como procesadores sujetos a contratos de tratamiento de datos.

---

8. Pagos seguros (Stripe)#

Toda la información de pago se procesa con Stripe, que es PCI-DSS Nivel 1 (la certificación más alta de la industria de pagos).

Lanza no ve, no toca y no almacena tu número de tarjeta, CVV ni fecha de vencimiento. Solo guardamos un ID opaco que apunta a tu cliente y suscripción en Stripe.

---

9. Backups y recuperación#

• Hacemos backups automáticos de la base de datos en intervalos diarios.
• Los backups están cifrados y se guardan en una región geográficamente distinta para resiliencia.
• Probamos los procedimientos de restauración periódicamente.
• Los backups se retienen por 30 días y luego se rotan.
• En caso de un evento catastrófico, nuestro RTO objetivo es de 4 horas y nuestro RPO objetivo es de 24 horas.

---

10. Endurecimiento del producto#

• Implementamos rate limiting y detección de abuso.
• Tenemos protección contra CSRF y headers de seguridad modernos (Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options).
• Validamos y sanitizamos todas las entradas de usuario.
• Usamos dependencias monitoreadas: alertas automáticas si una librería tiene una vulnerabilidad conocida.
• Mantenemos los sistemas operativos y runtime actualizados.

---

11. Inteligencia artificial: confidencialidad#

Tus prompts y creativos pasan por Anthropic (texto) y Black Forest Labs (imágenes). Por contrato:

• Anthropic no usa los inputs ni outputs de la API para entrenar modelos.
• Black Forest Labs no usa los inputs ni outputs de la API para entrenar modelos.

Solo enviamos a estos proveedores el mínimo de contenido necesario para producir el resultado. Nada de tus credenciales OAuth, datos de pago o información personal pasa por la API de IA.

---

12. Divulgación responsable de vulnerabilidades#

Si descubres una vulnerabilidad en Lanza, nos encantaría escucharla.

Cómo reportar

Email: security@impulsapr.com

Si la vulnerabilidad es sensible, puedes cifrar tu mensaje con PGP: nuestra clave pública está disponible en https://lanza.impulsapr.com/.well-known/security.txt (próximamente).

Qué pedimos

• Que no exploites la vulnerabilidad más allá de lo necesario para demostrarla.
• Que no accedas a datos de otros usuarios.
• Que no publiques la vulnerabilidad antes de que tengamos tiempo razonable para arreglarla (usualmente 90 días, o antes si llegamos a un acuerdo).
• Que no uses ransomware, DDoS o ingeniería social.

Qué te ofrecemos

• Confirmación de recepción en 24 horas hábiles.
• Triage y diagnóstico en 5 días hábiles.
• Comunicación regular sobre el progreso del fix.
• Reconocimiento público (si lo deseas) en nuestro Hall of Fame.
• Recompensa, en casos serios y a nuestra discreción (programa de bug bounty informal).

---

13. Frecuencia de revisión de seguridad#

• Revisión interna mensual de logs, accesos y alertas.
• Auditoría completa de prácticas de seguridad cada trimestre.
• Penetration testing anual externo.
• Revisión de dependencias automatizada (semanal).
• Revisión de la política de seguridad anual o cuando ocurra un cambio mayor.

Cuando Lanza alcance la madurez para certificaciones formales (SOC 2 Tipo II, ISO 27001), las anunciaremos públicamente.

---

14. Notificación de incidentes#

Si llegara a ocurrir un incidente de seguridad que afecte tus datos personales:

• Te notificaremos por email a la brevedad posible y, en cualquier caso, dentro de las 72 horas desde que detectemos la situación.
• Te explicaremos qué pasó, qué datos se vieron afectados, qué hicimos y qué puedes hacer tú.
• Notificaremos también a las autoridades de protección de datos competentes cuando la ley lo exija.

---

Contacto#

• Reportes de seguridad: security@impulsapr.com
• Privacidad: privacy@impulsapr.com
• Empresa: Impulsa PR — [NOMBRE COMPLETO EMPRESA]
• Dirección: [DIRECCIÓN COMERCIAL], San Juan, Puerto Rico, EE. UU.

Última actualización: 15 de mayo de 2026.