Confianza y seguridad

Paw Miaw está creado para familias con mascotas, profesionales de cuidado y clínicas veterinarias que necesitan protección práctica para perfiles de mascotas, registros de cuidado, espacios de trabajo profesionales, flujos de facturación y acceso compartido. Esta página resume la postura de seguridad y privacidad que tenemos hoy y las áreas que continuamos madurando a medida que crece Paw Miaw.

Paw Miaw no está diseñado para almacenar expedientes médicos humanos ni es un sistema para información de salud humana protegida. Los registros de mascotas y clínicas pueden seguir siendo sensibles, por lo que los tratamos como datos de producto protegidos.

1. Cifrado y sesiones

• Todo el tráfico de la web y de la API usa conexiones HTTPS cifradas, y se indica a los navegadores que usen solo HTTPS (HSTS).
• Las sesiones del navegador usan autenticación segura basada en cookies en lugar de depender de tokens bearer almacenados en el almacenamiento local del navegador.
• Las contraseñas se guardan solo como un hash de un solo sentido (scrypt), nunca como texto plano. Una contraseña nueva se compara con filtraciones de datos conocidas (Have I Been Pwned) sin que la contraseña se envíe nunca.
• Las cuentas nuevas confirman su correo con un código antes de usar el Servicio.
• El inicio de sesión, el registro, el restablecimiento de contraseña, los códigos de verificación y la eliminación de cuentas tienen límites de intentos para frenar adivinanzas y abusos.
• Los enlaces para restablecer contraseña tienen tiempo limitado y restablecer una contraseña revoca las sesiones existentes.
• Los datos de acceso a las casas se cifran con AES-256-GCM antes de llegar a la base de datos.
• Las páginas privadas se envían con encabezados que impiden que los navegadores y los buscadores las guarden o las listen.

2. Control de acceso

Paw Miaw separa las cuentas de hogares, espacios de trabajo profesionales, personal profesional, relaciones con clientes y enlaces externos firmados. El acceso profesional se controla mediante membresía del espacio de trabajo, funciones del personal, permisos y los flujos del producto donde un hogar o profesional otorga acceso.

• Los hogares controlan la membresía del hogar y el uso compartido de mascotas.
• Los espacios de trabajo profesionales controlan las invitaciones del personal, sus funciones y el acceso al espacio de trabajo.
• Las herramientas de clínicas y profesionales usan comprobaciones de función y permiso antes de exponer flujos protegidos.
• Los enlaces firmados se limitan a acciones específicas, como confirmaciones de citas, recordatorios, invitaciones o uso compartido con clientes.
• El equipo de soporte solo puede abrir una cuenta en modo de solo lectura, solo cuando la persona pide ayuda o para revisar seguridad, fraude o abuso, durante un máximo de una hora cada vez y con un motivo declarado que queda registrado. En ese modo no puede cambiar nada.
• Los datos de acceso a la casa están cifrados y se abren a un negocio solo cuando el hogar lo activa, solo durante una visita, y una apertura de emergencia requiere un motivo por escrito. El hogar recibe un aviso de cada apertura.
• Los enlaces al pasaporte y a la tarjeta de emergencia vencen (el pasaporte completo, al año, salvo que la familia elija otra cosa), y los enlaces de invitación al hogar se pueden usar una sola vez y dejan de funcionar a los 14 días.
• La aplicación muestra una conversación de Olfato AI solo a la persona que la escribió: no a otros miembros del hogar, no a profesionales, y no a nuestro equipo de soporte cuando ayuda con una cuenta.
• En un negocio, un chat de Olfato AI se muestra solo al miembro del equipo que preguntó, y responde solo con lo que esa persona ya puede ver. Los dueños, los administradores y quienes tienen permiso para cambiar roles y accesos o los ajustes de dinero ven un registro de quién preguntó sobre qué mascota, nunca el texto; cada persona ve sus propias líneas, y el historial de una mascota muestra quién preguntó sobre ella a quienes pueden abrirla.
• Las páginas que requieren iniciar sesión están marcadas para que los buscadores no las muestren.

3. Registros de auditoría

Paw Miaw registra eventos de auditoría para actividades importantes de profesionales y espacios de trabajo, incluidos acceso y cambios de registros, cambios de adjuntos, cambios de función del personal, acciones de catálogo e inventario, acciones de facturación, acceso a facturas, generación de PDF, pagos y actividad relevante de seguridad. Los registros de auditoría ayudan con la rendición de cuentas, solución de problemas, investigación de abusos y revisión de clínicas.

Los registros de auditoría buscan preservar la rendición de cuentas operativa y pueden conservarse cuando se eliminen otros datos de cuenta si es necesario por seguridad, prevención de fraude, cumplimiento, resolución de disputas o razones legales.

Cada pregunta a Olfato AI en un negocio queda registrada con quién preguntó, cuándo y qué mascotas y tipos de información leyó, nunca el texto, y el registro se conserva 1 año.

4. Copias de seguridad y recuperación

Cada 6 horas se hace una copia de la base de datos, que se cifra en nuestros servidores antes de salir de ellos, se guarda con Cloudflare y se conserva 30 días; después se elimina. Los respaldos se usan solo para recuperarse de desastres y restaurar el Servicio, así que los datos que pidas eliminar pueden seguir en un respaldo hasta que venza.

5. Subencargados y proveedores

Paw Miaw usa proveedores de servicios externos para operar el Servicio: alojamiento, almacenamiento de archivos, envío de correo, inicio de sesión, notificaciones push, pagos y facturación en tiendas de aplicaciones. Nuestra Política de privacidad enumera a cada proveedor, qué hace y qué datos recibe.

No vendemos información personal ni usamos contenido de cuidado de mascotas, profesionales, clientes, registros, facturas o mensajes para publicidad de terceros.

Olfato AI envía contenido a un proveedor de inteligencia artificial solo en tres casos: cuando una persona que aceptó su aviso hace una pregunta en la conversación para familias, cuando un espacio de trabajo profesional activó el resumen del expediente de una mascota, y cuando un miembro del personal de un espacio de trabajo que activó Olfato AI hace una pregunta en su chat. La Política de privacidad explica qué se envía, a quién y qué conservamos.

6. Conservación, exportación y eliminación

Conservamos los datos durante el tiempo necesario para prestar Paw Miaw, mantener registros de hogares y profesionales, cumplir obligaciones legales y fiscales, respaldar la facturación, prevenir abusos, resolver disputas y proteger el Servicio. Los usuarios pueden contactar a support@pawmiaw.com para solicitar acceso, exportación o eliminación de la cuenta.

Algunos registros pueden conservarse cuando sean necesarios para la gestión de registros profesionales, facturas, pagos, impuestos, registros de seguridad, prevención de fraude, copias de seguridad, disputas, obligaciones legales o necesidades comerciales legítimas. Hay más detalles en nuestra Política de privacidad.

7. Respuesta a incidentes

Si descubrimos un problema de seguridad que pueda afectar a usuarios, profesionales, espacios de trabajo de clínicas o datos del Servicio, lo investigaremos, lo contendremos, conservaremos los registros relevantes, lo corregiremos y daremos los avisos que exija la ley o que convengan para proteger a los usuarios.

Para reportar un problema de seguridad, escribe a support@pawmiaw.com con «Seguridad» en el asunto, diciendo qué encontraste y cómo reproducirlo. Procuramos responder dentro de 3 días hábiles. Mientras pruebas, no accedas, cambies ni borres datos de otras personas, y no interrumpas el Servicio. Nuestros datos de contacto para investigadores de seguridad también están en /.well-known/security.txt.

8. Posicionamiento actual

Paw Miaw actualmente no afirma contar con SOC 2, ISO 27001, cumplimiento de HIPAA ni preparación para PHI humana. El Servicio es para cuidado de mascotas y flujos veterinarios, no atención médica humana. Si Paw Miaw ofrece más adelante anexos de seguridad empresarial, informes formales de cumplimiento o funcionalidad sanitaria regulada, estos estarán cubiertos por términos escritos independientes.

Lo que todavía no ofrecemos: el inicio de sesión en dos pasos (un segundo código al iniciar sesión) aún no está disponible, así que usa una contraseña segura que no uses en ningún otro lugar. La base de datos activa está protegida por los controles de acceso del servidor y no está cifrada por separado en el disco; sus respaldos sí están cifrados.