SEGURIDAD
Cómo protegemos tus documentos
Tus documentos aduaneros muestran a quién compras, cuánto pagas y cuánto importas. Esta página explica dónde se almacenan, quién puede verlos y lo que todavía no hemos construido — con el detalle suficiente para que tu equipo de TI o de compras pueda comprobarlo.
Última revisión: 18 de septiembre de 2026
Se queda en la UE
Servidores en Alemania, documentos y copias de seguridad en Francia, lectura con IA solo en regiones de la UE.
Cuentas separadas
Cada solicitud se comprueba en nuestros servidores frente a la cuenta a la que se refiere.
Copias cifradas, cada noche
Se cifran antes de salir de nuestro servidor, para que el proveedor de almacenamiento no pueda leerlas.
Sin entrenar con tus datos
El modelo de IA lee tus documentos para extraer las cifras. Nada más.
Dónde están tus datos
La aplicación, su base de datos y el servicio de inicio de sesión los operamos nosotros mismos, en servidores que alquilamos a OVH en Alemania.
| Qué | Dónde | Proveedor |
|---|---|---|
| Aplicación, base de datos, inicio de sesión | Alemania (Colonia) | OVH — operado por tarify |
| Tus documentos | Francia (París), repartidos en tres centros de datos | OVH Object Storage |
| Copias de seguridad nocturnas | Francia, cifradas antes de subirlas | OVH Object Storage |
| Lectura de documentos con IA | Solo UE: Fráncfort y, en picos de carga, Irlanda, París, Estocolmo, Milán o España | Amazon Web Services (Bedrock) |
| Correo electrónico | Alemania | Amazon Web Services (SES), mailbox.org |
| Pagos | UE / EE. UU. | Stripe — los datos de tu tarjeta van a Stripe, nunca a nosotros |
La lista completa y vinculante de subencargados del tratamiento figura en nuestra política de privacidad y en el anexo II del contrato de encargo del tratamiento. Política de privacidad · Contrato de encargo del tratamiento
Cifrado
Qué se cifra, y cómo.
Cada conexión
El tráfico entre tu navegador y tarify, y entre tarify y sus proveedores, circula por TLS.
Copias de seguridad
Se cifran en nuestro propio servidor antes de subirlas, con una clave que el proveedor de almacenamiento nunca ve. Incluso los nombres de archivo van cifrados.
Tu conexión con Google o Microsoft
Si conectas una unidad o un buzón, su token de acceso se guarda cifrado (AES-256-GCM) con una clave que no se usa para nada más.
Contraseñas
Solo se guardan como hashes con sal. Nadie en tarify puede leerlas.
Abrir un documento
Cada vez que abres un documento, tarify crea un enlace privado que deja de funcionar a los cinco minutos.
Quién puede ver tus datos
Las personas que invites, y nadie más — comprobado en nuestros servidores en cada solicitud, no solo oculto en la interfaz.
Las cuentas están separadas
Cada solicitud se comprueba frente a tu pertenencia a la cuenta. Si alguien pide el documento de otra empresa, la respuesta es «no encontrado» — el sistema ni siquiera confirma que exista.
Roles para tu equipo
Propietario, administrador, miembro y lector. Cada función indica qué rol necesita, y nuestras pruebas automatizadas fallan si una nueva no lo hace.
Tokens de sesión que nuestros propios servidores no pueden falsificar
El servicio de inicio de sesión firma los tokens con una clave privada que los servidores de la aplicación no tienen. Pueden comprobar un token, pero no crearlo.
Una base de datos cerrada
La base de datos funciona en una red interna privada y no es accesible desde internet.
Nuestro acceso de soporte es de solo lectura
Solo operadores de tarify designados nominalmente pueden abrir una cuenta de cliente, y solo para leer — no pueden subir, cambiar, confirmar ni eliminar nada. Cada acceso queda registrado.
Lectura de documentos con IA
Un modelo de lenguaje lee tus documentos, para que no tengas que teclear las cifras.
Solo regiones de la UE, con bloqueo técnico
El modelo se ejecuta en Amazon Bedrock en regiones de la UE. Una política de acceso en nuestra cuenta de AWS lo bloquea en cualquier región fuera de la UE.
El desarrollador del modelo nunca ve tus documentos
El modelo es Claude, de Anthropic, operado para nosotros por AWS. Anthropic no recibe lo que subes.
Sin entrenamiento
Tus documentos y las respuestas del modelo no se utilizan para entrenar ni mejorar ningún modelo.
Tú compruebas cada cifra
Cada valor extraído está vinculado al texto exacto del que procede. Si falta algo, tarify se detiene y pregunta — nunca rellena un cero.
Constancia de lo que ocurrió
Para que puedas mostrar a tu autoridad cómo se obtuvo una cifra.
Registro de procesamiento
Cada vez que se procesa un documento, se escribe una entrada en un registro de auditoría. Nuestro código solo añade entradas; no tiene forma de modificarlas ni eliminarlas.
Las correcciones se conservan, no se sobrescriben
Si corriges un valor extraído, la corrección se guarda como registro propio — el valor anterior, el nuevo y quién hizo el cambio.
Conservación y eliminación
Tus datos son tuyos y puedes llevártelos; cuando te vas, se eliminan.
Exportar y, después, eliminar
Al cerrar tu cuenta puedes exportar antes tus datos. Después los eliminamos en un plazo de 30 días; las copias de seguridad caducan en el ciclo normal de copias.
Dos excepciones que exige la ley
La documentación CBAM debe conservarse hasta el final del cuarto año posterior a la declaración (Reglamento (UE) 2023/956). La desvinculamos de tu cuenta y la eliminamos cuando termina ese plazo. El registro de auditoría se conserva como constancia legal del tratamiento.
Cómo lo desarrollamos y operamos
Las rutinas que impiden que un error llegue a tus datos.
Probado antes de producción
Cada cambio pasa primero por un entorno de staging independiente — con su propia base de datos, su propio almacenamiento y su propio servicio de inicio de sesión, lleno de datos sintéticos, nunca de una copia de datos de clientes.
Una reversión que hemos ensayado
Cualquier versión puede revertirse a la anterior con un solo comando. Lo hemos hecho de verdad, no solo lo hemos puesto por escrito.
Copias de seguridad que hemos restaurado
Las copias de seguridad se hacen cada noche y dan la alarma si fallan. Hemos restaurado una en una base de datos independiente y la hemos comparado tabla por tabla.
Ningún secreto en el código
Las claves y contraseñas se guardan en una configuración protegida en el servidor, nunca en el control de versiones.
Límites en las herramientas públicas
La calculadora gratuita y el escáner de documentos tienen límites diarios, por visitante y en total, para que nadie pueda generar costes o carga a través de ellos.
Lo que todavía no tenemos
Mejor que lo sepas por nosotros que descubrirlo en un cuestionario.
Sin certificado ISO 27001 ni SOC 2
tarify aún no está certificado. Si tu departamento de compras exige un certificado concreto, dínoslo — nos ayuda a decidir qué va primero.
Sin autenticación de dos factores
Hoy inicias sesión con una contraseña o con un código de un solo uso enviado por correo electrónico.
Sin prueba de penetración independiente
Nuestras propias pruebas automatizadas cubren roles y permisos. Ninguna empresa externa ha probado tarify todavía.
Para tu equipo de TI y de compras
Todos los clientes reciben nuestro contrato de encargo del tratamiento conforme al art. 28 del RGPD — aceptado al registrarse o, si lo solicitas, firmado por ambas partes. Enumera todos los subencargados del tratamiento y nuestras medidas técnicas y organizativas. Envíanos tu cuestionario de seguridad y lo rellenamos.
Contrato de encargo del tratamientoPolítica de privacidad
[email protected]Notificar una vulnerabilidad
¿Has encontrado un problema de seguridad? Envíanos por correo los pasos para reproducirlo. Por favor, no accedas a datos de otras personas ni interrumpas el servicio durante las pruebas.
Si alguna vez una violación de la seguridad afecta a tus datos, te lo comunicaremos sin dilación indebida, con la información que necesitas para tus propias notificaciones.
[email protected]