Seguridad en Zentro

Última actualización: 8 de octubre de 2026

Nuestro enfoque

Zentro procesa datos operativos de pedidos para empresarios de e-commerce en LATAM. Tratamos la seguridad como parte del producto, no como un anexo. Esta página resume las medidas técnicas y organizativas que aplicamos. Para detalles legales sobre tratamiento de datos personales ver nuestra Política de Privacidad.

Protección de datos

Encriptación en reposo: AES-256 para la base de datos, almacenamiento de archivos y backups.
Encriptación en tránsito: TLS 1.2+ en todas las conexiones; HSTS habilitado.
Tokens de acceso de las integraciones (Shopify, Meta, WhatsApp, TikTok, Google y la mayoría de los couriers): cifrados a nivel de aplicación con AES-256-GCM antes de almacenarse.
Base de datos: PostgreSQL administrado por un proveedor con certificaciones SOC 2 e ISO 27001 (región EE.UU.).
Backups: point-in-time recovery automatizado; retención de 7 días.

Autenticación y control de acceso

Hashing de contraseñas: bcrypt con salt único por usuario.
Sesiones: cookies httpOnly, SameSite y Secure en producción.
Control de acceso por roles (RBAC): ADMIN, SUPERVISOR, SELLER, LOGISTICS y MOTORIZADO, cada uno con el conjunto mínimo de permisos.
Aislamiento multi-tenant: cada query de aplicación filtra por organización; nunca se cruzan datos entre merchants.
Registros de auditoría: trazabilidad de acciones sensibles (cambios de estado, edición de pagos, accesos administrativos) retenida 90 días.
Acceso de ingeniería a producción: se concede solo al personal técnico que lo necesita.
Acceso de soporte a la cuenta de un comercio: solo personal autorizado, por un tiempo limitado (una hora por defecto), con un motivo obligatorio y registrado en el historial de auditoría de esa cuenta.
Registro de accesos a datos de compradores: quién consultó los datos de los clientes finales, en qué parte del sistema y en qué hora, conservado 365 días.

Infraestructura

Hosting: infraestructura serverless con auto-escalamiento.
Red de borde: CDN con protección DDoS y WAF de capa de aplicación.
Observabilidad: monitoreo de errores y rendimiento de la aplicación.
Cabeceras HTTP de seguridad: X-Content-Type-Options: nosniff, Referrer-Policy estricto y Permissions-Policy que desactiva cámara y geolocalización. El micrófono se permite solo al propio sitio para grabar notas de voz, con autorización del usuario; permanece desactivado en los formularios públicos embebibles. X-Frame-Options: DENY en todo el sitio con una excepción declarada: las páginas públicas de formulario de pedido (/f/…) se sirven con Content-Security-Policy: frame-ancestors * para que un comerciante pueda incrustarlas en su propia tienda. Esas páginas no leen cookies ni exponen ninguna acción autenticada.

Sub-procesadores

Trabajamos con los siguientes proveedores. Mantenemos esta lista actualizada.

Proveedor	Función	Ubicación
Vercel Inc.	Hosting, funciones del servidor y CDN	EE. UU. / red global
Neon (PostgreSQL)	Base de datos administrada, cifrada en reposo, y sus copias de respaldo	EE. UU.
Vercel Blob	Almacenamiento de archivos: comprobantes de pago, fotos de entrega, imágenes y archivos multimedia de WhatsApp	EE. UU.
Sentry	Monitoreo de errores y rendimiento	EE. UU.
Browserbase	Navegador automatizado para registrar envíos en couriers sin API (integración Zeus)	EE. UU.
Pusher	Actualización en tiempo real de la bandeja de mensajes	EE. UU.
Vercel AI Gateway (modelos Gemini de Google)	Lectura automática de comprobantes de pago, clasificación de mensajes entrantes y el Asistente Zentro	EE. UU.
Amazon Web Services	Servidor propio con IP fija por el que salen las consultas a algunos couriers; el tráfico viaja cifrado	EE. UU.

Cumplimiento

Cumplimiento con la Ley N° 29733 (Protección de Datos Personales del Perú) y su reglamento.
Tratamiento alineado con GDPR para titulares de datos en la Unión Europea.
Notificación de brechas dentro de las 48 horas a la Autoridad Nacional de Protección de Datos Personales (ANPDP) cuando aplique, y a Shopify dentro de las 24 horas cuando afecte datos que recibimos de Shopify.
Adhesión a la Google API Services User Data Policy incluyendo los requisitos de Limited Use.

Responsable de seguridad

El programa de seguridad de Zentro está a cargo de Christian Fernando Pellanne Vargas, fundador y Security Lead de SPEUX E.I.R.L.. Es el punto de contacto de seguridad de la empresa y el responsable de la política de seguridad, la respuesta a incidentes y las pruebas de seguridad internas —incluidas evaluaciones ofensivas controladas (red teaming)— sobre los sistemas propios de Zentro, realizadas en entornos aislados y nunca contra datos reales de clientes. Contacto: security@zentro.one.

Reportar una vulnerabilidad

Recibimos reportes de investigadores de seguridad con respeto y prontitud. Para reportar un hallazgo escribe a security@zentro.one con el asunto “Security — Reporte de vulnerabilidad”. Pedimos:

Descripción clara del hallazgo y pasos para reproducir.
No interrumpir el servicio ni acceder a datos de otros usuarios.
Darnos un plazo razonable para corregir antes de divulgación pública.

Acusamos recibo dentro de 3 días hábiles y proveemos una fecha estimada de remediación.

Coordenadas oficiales (RFC 9116)

El archivo security.txt está publicado en /.well-known/security.txt.