Lo que hacemos para proteger tu cuenta y tus apps, y lo que todavía no tenemos. Cada punto se comprobó en nuestro código o nuestros textos legales el 3 de noviembre de 2026. Para los datos personales, la política de privacidad sigue siendo la referencia.
Lo que nos llega
- Recibimos la dirección de tu sitio, no su código fuente.
- Una app carga tu sitio directamente. Las páginas que abren tus usuarios y lo que escriben no pasan por nuestros servidores.
- Los datos de tarjeta se quedan en Stripe y nunca llegan a nuestros servidores.
Quién accede a tus datos
- La seguridad a nivel de fila (RLS) está activa en todas las tablas de nuestra base de datos. Una cuenta conectada solo accede a sus propios proyectos, builds y conexiones.
- Nuestras funciones de servidor comprueban quién llama y de quién es el proyecto.
- Los archivos de build y las claves de firma están en un almacenamiento privado. Un enlace de descarga solo se entrega a la cuenta dueña del build.
- Las imágenes y páginas legales pensadas para ser públicas, como el icono de tu app, se guardan con acceso público.
- Cada build de Android se ejecuta en su propio contenedor, que se elimina al terminar el build.
- Nuestros servidores solo aceptan claves SSH, nunca una contraseña.
Cifrado
- Todo el tráfico hacia saastostore.com usa HTTPS, con HSTS.
- La clave de firma de tu app se cifra con AES-256-GCM, con una clave derivada para tu cuenta.
- Su contraseña se filtra de nuestros registros y te llega solo por correo.
- El build de prueba se firma con una clave desechable que no conservamos.
- Si nos dejas publicar por ti, las credenciales que nos confías se cifran con AES-256-GCM y se descifran solo para la publicación.
Inicio de sesión y sesiones
- El inicio de sesión funciona con Supabase Auth: no guardamos las contraseñas nosotros.
- Cerrar sesión cierra solo este navegador. Cerrar sesión en todas partes, en la página de cuenta, cierra todas las sesiones.
- Una sesión cerrada ya no puede cambiar tus proyectos, ni siquiera antes de que caduque su token.
Agentes de IA
Un agente de IA se conecta por el conector MCP, después de que lo apruebes en una página de consentimiento.
- Puede comprobar una URL, crear tu app y lanzar un build. Un build que lanza cuenta en tu plan como cualquier otro build.
- No puede pagar, publicar, eliminar ni cambiar tus conexiones. Solo puede preparar un enlace de pago, que abres tú.
- Estos límites se aplican en nuestras funciones de servidor y otra vez en la base de datos, no solo en el conector.
- Cerrar sesión en todas partes también desconecta a los agentes.
Pagos
Los pagos pasan por Stripe, cuya plataforma tiene la certificación PCI-DSS Nivel 1. Esa certificación es de Stripe, no nuestra. Guardamos los registros de pago para la contabilidad, nunca los datos de tarjeta.
Subencargados
Los principales proveedores que tratan datos para SaasToStore:
| Proveedor | Uso | Ubicación |
|---|---|---|
| Supabase | Base de datos, inicio de sesión, almacenamiento de archivos, funciones de servidor | Unión Europea |
| Ionos | Servidores de build, correos de inicio de sesión | Alemania |
| Cloudflare | Alojamiento y distribución del sitio | Red mundial |
| GitHub | Builds de iOS y escritorio | Estados Unidos |
| Stripe | Pagos | Estados Unidos |
| Resend | Correos transaccionales | Estados Unidos |
| Anthropic | Textos con IA y asistente de configuración | Estados Unidos |
| Google Gemini | Imágenes con IA | Estados Unidos |
| Browserless | Capturas de tu sitio | Estados Unidos |
| Google Firebase | Notificaciones de las apps | Estados Unidos |
| PWABuilder (Microsoft) | Paquetes de Windows | Estados Unidos |
Las transferencias fuera de la Unión Europea se basan en las cláusulas contractuales tipo de la Comisión Europea y, si el proveedor está certificado, en el Data Privacy Framework UE-EE. UU.
RGPD y tus derechos
- SaasToStore lo gestiona Méga Joule, en Francia, responsable del tratamiento.
- Puedes pedir el acceso, la rectificación, la supresión o la exportación de tus datos en hello@saastostore.com. Respondemos en un plazo de 30 días.
- También puedes reclamar ante la CNIL, la autoridad francesa de protección de datos.
- No vendemos tus datos ni los usamos para entrenar modelos de IA.
- Si una brecha pone en riesgo tus derechos, avisamos a la autoridad en un plazo de 72 horas, y a ti sin demora injustificada.
Eliminar tu cuenta
Abre Cuenta, elige Eliminar mi cuenta, escribe tu correo para confirmar y elige Eliminar definitivamente. La eliminación se rechaza mientras haya un build en curso.
- Tus proyectos, builds, archivos y claves de firma se eliminan. Todos los datos personales se borran en un plazo de 30 días, salvo lo que la ley nos obliga a conservar.
- Los registros de pago se conservan 10 años, como exige la ley contable francesa, sin vínculo con tu cuenta.
- Una app ya publicada sigue en su store, y ya no podemos generar sus actualizaciones.
Informar de un problema de seguridad
Escribe a hello@saastostore.com con los pasos para reproducir el problema. Leemos cada aviso. No tenemos un programa de bug bounty remunerado.