Seguridad

detect.ar guarda datos de identidad y de solvencia de las personas que nuestros clientes consultan, imágenes de documentos y selfies de las verificaciones de identidad, documentos de ingresos y los datos de cuenta y de pago de los clientes. Esta página describe las medidas que aplicamos hoy. No tenemos certificaciones propias (SOC 2, ISO 27001): las que se mencionan son de nuestros proveedores.

2.1. En tránsito

Toda la comunicación con detect.ar y app.detect.ar va por HTTPS con TLS 1.2 o superior; no aceptamos conexiones sin cifrar y el sitio exige HTTPS en el navegador (HSTS). Los certificados los emite y renueva Cloudflare.

2.2. En reposo

La base de datos (Cloudflare D1), los archivos (Cloudflare R2: documentos, selfies, archivos analizados) y la caché (Cloudflare KV) se guardan cifrados en reposo por Cloudflare. Las credenciales de los proveedores (Veraz, Didit, Mercado Pago, proveedores de IA) se guardan como secretos del entorno de ejecución, fuera del código.

• Autenticación: la hace Clerk. No almacenamos contraseñas. Podés entrar con email y contraseña o con Google, ver y cerrar tus sesiones abiertas y, en los planes pagos, activar la verificación en dos pasos (TOTP).
• Autorización: cada pedido al servidor se valida contra la sesión y el espacio de trabajo del usuario. Un espacio de trabajo nunca ve datos de otro. En el plan Empresas hay cuatro roles (administrador, analista, usuario y auditor); las acciones sensibles, como exportar la auditoría o eliminar datos, son solo de administradores.
• Enlaces públicos: los enlaces de consentimiento, de informes compartidos y de Mi perfil usan tokens largos y aleatorios, vencen, se pueden revocar y, en Mi perfil, admiten contraseña. El enlace de consentimiento exige escribir el documento correcto y se bloquea tras cinco intentos fallidos.
• Límites de uso: hay topes por usuario y por espacio de trabajo en consultas, intentos y envíos, para frenar automatizaciones y fuerza bruta.

• Los archivos que subís (imágenes, PDF, emails, documentos de ingresos y de consentimiento) se validan por tipo real y tamaño antes de guardarse. Nunca se ejecutan ni se abren con una aplicación: se extrae su texto o se envían como imagen al proveedor de IA que los analiza.
• Los enlaces presentes en el contenido que analizás se muestran como texto, no como enlaces clicables.
• Las webhooks salientes solo aceptan destinos HTTPS públicos (nunca redes internas) y van firmadas; el cuerpo y el secreto no se escriben en los registros.

• Modo “no guardar”: en el análisis de estafas, el contenido no se guarda; queda una fila sin contenido para contar el uso del plan. No aplica a Veraz, BCRA, identidad ni Personas.
• Retención automática: viene desactivada. Si el administrador la activa, cada día se vacían los análisis, la bandeja de email, los enlaces compartidos y los documentos de ingresos con más de 7, 30 o 90 días. No alcanza a las consultas crediticias, verificaciones, personas ni scores: esos se borran a mano. Qué guardamos y por cuánto tiempo está en la Política de privacidad.
• Enlaces compartidos de Mi perfil: muestran el documento con solo sus tres últimos dígitos y nunca el informe crudo, cifras del buró ni documentos de ingresos.
• Exportar y eliminar: el administrador puede exportar los datos del espacio de trabajo y eliminarlos desde Ajustes.

Usamos modelos de OpenAI y, como respaldo si OpenAI no responde, de DeepSeek, para redactar los informes, leer documentos de ingresos, buscar en la web y analizar mensajes y archivos. Lo que se envía es lo necesario para cada tarea; a la IA que resume una verificación de identidad no se le mandan las imágenes. El score no lo calcula una IA: lo calcula código con reglas fijas. No entrenamos modelos con datos de clientes ni de personas consultadas; el tratamiento que hace cada proveedor se rige por sus condiciones de API.

Cada espacio de trabajo tiene un registro de auditoría con quién hizo qué y cuándo: alta, apertura y borrado de personas, cálculo del score (con la versión del modelo), consultas a Deudores y a Veraz, Informes 360, verificaciones de identidad, pedidos y revocaciones de consentimiento, pedidos de titulares, decisiones, cambios de suscripción y exports. Las filas identifican a la persona consultada por un número interno, no por su nombre ni su documento. El administrador lo exporta en CSV o JSON desde Ajustes, sección Cumplimiento. No se borra con la retención ni al eliminar los datos del espacio de trabajo.

Si detectamos un incidente de seguridad que afecte datos personales, lo contenemos, evaluamos qué datos y qué personas alcanza, avisamos por email a los clientes afectados con lo que sabemos y lo que conviene hacer, y lo informamos a la Agencia de Acceso a la Información Pública cuando corresponda. Después corregimos la causa.

Si encontrás una vulnerabilidad, escribinos a hola@detect.ar con el asunto “Vulnerabilidad de seguridad” antes de publicarla. Acusamos recibo dentro de las 48 horas hábiles, la investigamos y corregimos con prioridad, y no iniciamos acciones legales contra quien investigue de buena fe y respete este proceso.