Última actualización: 21 de octubre de 2026
Informar un problema de seguridad: security@meloraconnect.com. Soporte: support@meloraconnect.com o (240) 896-1404.
1. Dónde funciona Melora Connect
1.1 La aplicación funciona en la red de Cloudflare. Los datos, el inicio de sesión y los archivos se almacenan con Supabase, un proveedor administrado de bases de datos y almacenamiento, en Canadá (Amazon Web Services, Montreal). Stripe procesa los pagos. La lista completa de proveedores está en nuestra Política de privacidad.
1.2 Las conexiones con Melora Connect usan HTTPS. Las solicitudes por HTTP sin cifrar se redirigen a HTTPS, y se indica a los navegadores que usen solo HTTPS para nuestro dominio. La aplicación envía una política de seguridad de contenido (Content Security Policy) para que los scripts inyectados no puedan ejecutarse.
2. Cómo se mantienen separados los datos de cada organización
2.1 Las reglas de acceso se aplican en la propia base de datos, no solo en la aplicación. Las reglas de seguridad a nivel de fila deciden qué filas puede leer o modificar cada usuario que inició sesión, según su organización y su rol. Esto está diseñado para que una Asociación no pueda ver los datos de otra, y para que un miembro vea solo lo que su Asociación permite.
2.2 Los administradores de cada Asociación controlan los roles y permisos del personal. Las acciones sensibles, como aprobar pagos o firmar contratos como contraparte, requieren permisos específicos.
2.3 Los archivos cargados, como los documentos de miembros, los documentos de proveedores y los archivos de solicitudes, se guardan en un almacenamiento privado. Las fotos de perfil son públicas por diseño.
2.4 Acceso del personal de Melora. El personal de Melora no tiene acceso permanente a los registros de miembros, de pagos ni a otros registros de una Asociación. Un integrante del personal que lo necesite, principalmente para atender una solicitud de soporte, pide acceso a esa única Asociación, con un motivo por escrito y un límite de tiempo de entre una hora y una semana. La solicitud debe aprobarla una de las pocas personas designadas para ello en Melora; nadie puede aprobar su propia solicitud, y el acceso termina por sí solo cuando vence el plazo o cuando se revoca. Estas reglas se aplican en la base de datos. Se registra cada solicitud, cada decisión y cada revocación, así como cada vez que un integrante del personal abre los registros de esa Asociación o inicia sesión en ella como administrador. Las solicitudes de ayuda enviadas a Melora las atiende nuestro equipo de soporte sin esta aprobación.
3. Inicio de sesión
3.1 Las cuentas inician sesión con una dirección de correo electrónico y una contraseña mediante Supabase Auth. Las contraseñas deben tener al menos 8 caracteres y Melora nunca las almacena en un formato legible.
3.2 Las páginas de inicio de sesión, restablecimiento de contraseña, invitación, solicitud de membresía, donación pública y solicitud de demostración usan Cloudflare Turnstile para bloquear bots.
3.3 Inicio de sesión en dos pasos. El inicio de sesión en dos pasos es opcional para todas las personas. Una vez que lo activa desde la página de su cuenta, al iniciar sesión se le pide, además de la contraseña, un código de 6 dígitos de una aplicación de autenticación, y la base de datos rechaza cualquier sesión que no haya superado ese paso. Si pierde el acceso a su aplicación de autenticación, comuníquese con nuestro equipo de soporte.
3.4 Las sesiones iniciadas finalizan a los 7 días, o tras 24 horas sin ninguna pestaña abierta.
4. Pagos
4.1 MeloraPay funciona con Stripe Connect. Los datos de la tarjeta se ingresan en los formularios de pago propios de Stripe y van directamente a Stripe; no pasan por los servidores de Melora ni se almacenan en ellos.
4.2 Stripe recopila directamente los documentos de identidad y los datos bancarios durante el alta. Para los pagos y las transferencias, Melora nunca recopila, almacena, registra ni transmite números de identificación fiscal, números de cuenta bancaria o de ruta bancaria, ni fechas de nacimiento. Una Asociación puede optar por pedir datos personales a los solicitantes, como la fecha de nacimiento, en sus propios formularios de solicitud, y esas respuestas se guardan con el resto de sus registros.
4.3 Cada cobro se realiza en la cuenta de Stripe propia de la Asociación, y el código se niega a cobrar sin ella, de modo que el dinero de los miembros nunca termina por error en el saldo de Melora.
4.4 Los mensajes de Stripe y de nuestro proveedor de correo electrónico solo se aceptan si sus firmas se verifican. Las tareas internas programadas requieren una clave secreta.
5. Cifrado
5.1 Los datos se cifran en tránsito con HTTPS y en reposo por parte de nuestro proveedor de base de datos y almacenamiento. Los secretos de firma de webhooks se guardan en un almacén cifrado, y las claves de API se almacenan solo como una huella unidireccional. Melora no cifra por separado otros campos, y los mensajes no tienen cifrado de extremo a extremo; la sección 8 explica quién puede leerlos.
6. Protección contra el abuso
6.1 Los formularios públicos y los puntos de acceso sensibles tienen límites de frecuencia. Por ejemplo, una misma dirección de correo electrónico solo puede enviar 3 solicitudes de proveedor por día, y la búsqueda de direcciones está limitada por usuario.
6.2 API. La API de Melora Connect, disponible en los planes Enterprise, usa claves que pertenecen a una sola Asociación y que se almacenan solo como una huella unidireccional. Cada clave puede hacer 120 solicitudes por minuto; cada Asociación, 600 por minuto entre todas sus claves; y cada dirección, 50 solicitudes cada 10 segundos. Una dirección que presenta 30 claves incorrectas en 10 minutos queda bloqueada hasta que termina ese período, y se rechazan las solicitudes de más de 64 KB.
7. Registros de auditoría
7.1 Las acciones importantes, como el envío de solicitudes de proveedores, las firmas de contratos como contraparte, las eliminaciones de cuentas y los cambios de permisos, se registran en un registro de auditoría. Los administradores de cada Asociación pueden revisar el registro de auditoría de su organización en el portal de administración.
8. Mensajes
8.1 Los mensajes se almacenan en nuestros sistemas. Dentro de Melora Connect, una conversación solo pueden leerla las personas que participan en ella y, en las conversaciones con proveedores, el personal de la Asociación que gestiona a los proveedores. El personal de Melora no lee los mensajes en el curso normal de sus actividades. Solo puede acceder a ellos mediante un acceso de soporte aprobado (sección 2.4) o, en el caso de un pequeño número de ingenieros, mediante el acceso de administración de la base de datos, cuando sea necesario para investigar un problema informado, mantener la seguridad de la plataforma o cumplir un requisito legal.
9. Supervisión sin datos personales
9.1 Usamos un servicio de supervisión de errores para encontrar y corregir problemas. Los informes de error incluyen un identificador interno de usuario y están configurados para no incluir nombres, direcciones de correo electrónico, direcciones IP, cookies ni encabezados de inicio de sesión.
10. Sin rastreadores publicitarios
10.1 Melora Connect no tiene rastreadores publicitarios. Las páginas de eventos de las Asociaciones cuentan las visitas con un identificador de visitante aleatorio; consulte la Política de privacidad para conocer este y los demás tipos de almacenamiento del navegador que usamos. Las analíticas de nuestro sitio web y de la aplicación, cuando se usan, se describen en la Política de privacidad y nunca se usan con fines publicitarios.
11. Copias de seguridad y eliminación de datos
11.1 Se hace una copia de seguridad de la base de datos una vez al día. Cada copia se cifra antes de almacenarse, se guarda en Cloudflare, separada de nuestro proveedor de base de datos, y se elimina a los 30 días. Solo las personas designadas por Melora como custodias de las claves pueden descifrar una copia de seguridad. Hemos probado una restauración completa de la base de datos.
11.2 Cuando un miembro elimina su cuenta desde el portal de miembros, se eliminan su cuenta de inicio de sesión y su perfil, y la eliminación queda registrada en el registro de auditoría. La Asociación conserva su propio registro del miembro según su configuración de conservación, y marcar un registro como anonimizado no lo elimina. Las copias en las copias de seguridad se eliminan en un plazo de 30 días, a medida que estas se renuevan.
12. Incidentes de seguridad
12.1 Si confirmamos un incidente de seguridad que afecte su información personal o los datos de su organización, se lo comunicaremos a los titulares de las cuentas afectadas sin demoras indebidas, y a más tardar 72 horas después de confirmarlo, indicando qué sucedió, qué estamos haciendo y qué debe hacer usted. Las Asociaciones son responsables de notificar a sus propios miembros cuando la ley lo exija, y les daremos la información que necesiten.
13. Cómo informar una vulnerabilidad
13.1 Si encuentra un problema de seguridad, escriba a security@meloraconnect.com con los pasos para reproducirlo. Procuramos acusar recibo de su informe en un plazo de 2 días hábiles y corregir o mitigar los problemas confirmados en un plazo de 30 días, según su gravedad.
13.2 Le pedimos que nos dé un plazo razonable para corregir el problema antes de divulgarlo. No acceda a datos que no le pertenecen, ni los modifique o elimine, no interrumpa el Servicio y no use ingeniería social. No emprenderemos acciones legales contra investigaciones de buena fe que sigan estas reglas, y le daremos el reconocimiento correspondiente si así lo desea.
14. En qué estamos trabajando
14.1 Estos controles están planificados y todavía no están disponibles:
- Configuración de la duración de las sesiones que una Asociación pueda elegir.
- Listas de direcciones IP permitidas para el acceso de administradores.
- Inicio de sesión único para los planes Enterprise.
14.2 Actualmente, Melora no cuenta con certificaciones de seguridad como SOC 2 o ISO 27001.