Seguridad y datos.

En una base de datos Postgres gestionada por Supabase; la aplicación se sirve desde Vercel. Los datos van cifrados en tránsito y en reposo, y el acceso del personal de Thinktier OÜ se limita al necesario. Si usas la captura por IA, el texto de los mensajes se envía para su extracción a Groq, Inc. (EE. UU.) o a Google. Qué proveedores intervienen, qué transferencias salen del EEE y con qué garantías se detalla en la política de privacidad.

Thinktier OÜ es una empresa estonia (Reg. 17249293, VAT EE102949399) sujeta al RGPD. Con los datos personales que tu organización guarda en Granel, como los contactos de tus contrapartes, Thinktier OÜ actúa como encargado del tratamiento. El acuerdo de encargo (DPA) está publicado como borrador, pendiente de revisión legal, y los subencargados se enumeran en la política de privacidad.

Solo los usuarios que tu organización invita explícitamente. El aislamiento es por organización con Row Level Security en la base de datos: ningún usuario de otra organización puede leer ni escribir tus datos, ni siquiera por error.

Sí, en todos los planes, con cuatro roles. El propietario es el único que gestiona la facturación y cambia los roles. Los administradores invitan y desactivan usuarios, configuran la organización y pueden borrar deals, contrapartes y documentos. Los traders crean y editan deals, contrapartes, contratos, cobros y documentos, y exportan. El rol de lectura consulta sin modificar ni exportar. Los roles limitan lo que cada uno puede hacer, no lo que ve: hoy cualquier miembro, incluido el de lectura, ve los precios de compra y los márgenes de los deals de su organización.

Los datos se alojan en Supabase (PostgreSQL) y las copias de seguridad de la base de datos las gestiona ese proveedor. Granel no ofrece hoy copias bajo demanda ni una retención configurable por cliente. Puedes exportar tus deals, partidas de coste y contrapartes a CSV/Excel cuando quieras.

Toda la comunicación con la plataforma va por HTTPS/TLS y los datos en reposo están cifrados a nivel de disco por el proveedor de la base de datos. Las contraseñas se guardan con hash y las claves de API con SHA-256. Los secretos de los canales de captura (bots de Telegram, WhatsApp) no llegan al navegador y solo los lee el servicio, pero no están cifrados a nivel de aplicación.

Si cancelas o no pagas, la cuenta pasa a solo lectura: nada se borra y puedes seguir exportando deals, partidas de coste, contrapartes y productos a CSV/Excel. Los documentos adjuntos se descargan desde cada deal. Cuánto tiempo se conserva cada categoría de datos está en la tabla de conservación de la política de privacidad.

Sí. Cada usuario puede activar 2FA con una aplicación autenticadora (TOTP) desde su configuración de seguridad. Hoy es voluntaria: no se puede imponer a toda la organización y no hay inicio de sesión único (SSO por SAML u OIDC). Si tu política de seguridad lo exige, lo valoramos bajo contrato en Enterprise.