Seguridad en Spun

Dónde viven tus datos

Alemania primero, con una celda en Estados Unidos

Spun opera dos celdas de datos. eu-1 está en Núremberg, Alemania, sobre infraestructura de Hetzner; contiene el plano de control y la gran mayoría de las organizaciones. us-1 está en Manassas, Virginia, sobre infraestructura de netcup. Hoy hay dos organizaciones alojadas allí; todas las demás organizaciones están en Alemania.

La ubicación no se deduce del lugar donde casualmente estabas al registrarte. Ningún país está asignado a una celda, así que las organizaciones nuevas se crean en la celda de la UE. Tu organización está alojada en exactamente una celda, y sus datos permanecen en esa celda hasta que alguien los traslada de forma deliberada.

Los archivos multimedia (imágenes, video, audio y documentos adjuntos) se almacenan en Cloudflare R2 y se sirven solo mediante URL firmadas limitadas a un único objeto, nunca desde la dirección de un bucket público.

La retención depende de tu plan. Cada plan indica en la página de precios su período de historial de mensajes (90 días en Starter, 1 año en Pro, ilimitado en Max) y los mensajes más antiguos que ese período se eliminan; mejorar de plan amplía el período y permite volver a importar un historial más antiguo. Dentro de tu período, los datos permanecen hasta que los eliminas o hasta que los elimina una configuración de retención más corta que tú definas. Las herramientas de eliminación y exportación que se describen más abajo son el mecanismo para hacerlo.

Ocultación de datos personales

Qué se elimina, y cuándo

La ocultación se ejecuta en nuestro servidor antes de que la solicitud salga de él. Los valores detectados se reemplazan por marcadores de posición opacos, y el mapa que vincula cada marcador con el valor original nunca se envía al navegador ni al proveedor.

Una regla se mantiene en todas las configuraciones: los números de tarjeta, los datos bancarios e IBAN, los beneficiarios, los números de identificación nacional, los números de pasaporte, las claves de API y los tokens se eliminan de todo lo que se usa para construir índices de búsqueda. La detección cubre diez grupos de idiomas y valida lo que puede: los números de tarjeta y los números de identidad israelíes se verifican con dígito de control, no solo por coincidencia de patrón.

Un marcador de posición pertenece a la única solicitud que lo creó. Cada ejecución etiqueta sus marcadores con un valor aleatorio, y solo los marcadores que llevan la etiqueta de esa ejecución se convierten de nuevo en texto real; así, un token copiado de una cadena de respuestas citadas, o uno que invente un modelo, no coincide con nada y se queda como está, en lugar de rellenarse con el número real de alguien.

Cuando una función de IA escribe algo que vas a enviar, los valores reales se vuelven a colocar en nuestro servidor después de que el modelo responde: un borrador de correo llega completo a tu editor, porque un marcador de posición en la bandeja de entrada de un cliente es un defecto. Cuando escribe algo que solo vas a leer (por ejemplo, el resumen de un hilo de correo), no se vuelven a colocar. Los marcadores siguen visibles, ya que no se gana nada escribiendo datos personales reales en una línea que solo se muestra en pantalla. En el editor de correo puedes abrir “Lo que ve la IA” antes de pedir nada y leer el hilo exactamente como lo recibe el proveedor, hasta cada marcador de posición y el tipo de dato que representa.

La ocultación reduce lo que ve un proveedor. No deshace el envío de nada que ya se haya procesado, y lo decimos en el cuadro de confirmación, no en una nota al pie.

Acceso

Quién puede acceder a qué

El aislamiento entre organizaciones lo impone la base de datos, no el código de la aplicación acordándose de filtrar. Las tablas de inquilinos tienen políticas de seguridad a nivel de fila vinculadas a la organización de la sesión actual, así que una consulta sin ese contexto no devuelve nada.

A tu equipo se le aplican dos roles (administrador de la organización y usuario de la organización), junto con un rol de administrador de la plataforma que tiene el personal de Spun para dar soporte. El acceso a la bandeja de entrada se limita también por separado: lectura y escritura, solo lectura, o limitado por filtro, donde un miembro solo ve las conversaciones que coinciden con el filtro definido para él. Las conversaciones compartidas con otra organización tienen además su propio rol, desde espectador, pasando por miembro del equipo y gerente, hasta control total, así que compartir una conversación no entrega la cuenta.

Las conversaciones de soporte con Spun, y los tickets abiertos desde una bandeja de entrada, son visibles para el propietario de la cuenta y para los miembros que el propietario autoriza. Un miembro de una bandeja compartida ve el chat de “Soporte humano” solo cuando su acceso compartido incluye ese permiso, y el servidor rechaza la solicitud cuando no lo incluye, en lugar de simplemente ocultar la pestaña.

La identidad viene de Firebase, y ahí termina. La pertenencia, la organización activa y el rol se resuelven desde la base de datos en cada solicitud; no se confía en nada del token para afirmarlos.

Algunas cosas pertenecen a una persona y no a la organización. Las metas personales y las reflexiones escritas sobre ellas son el caso más claro: sus políticas de seguridad a nivel de fila están vinculadas al miembro además de a la organización, así que un administrador, un compañero de equipo o un colega de una bandeja compartida no puede leerlas ni siquiera dentro de la misma cuenta, y esto lo impone la base de datos, no la interfaz eligiendo qué mostrar. Nuestras propias herramientas administrativas ven cantidades, nunca el texto. Una exportación a nivel de organización omite por completo el contenido de las reflexiones, y solo la exportación personal de la propia persona lo incluye. Eliminar una reflexión también oculta las copias que quedaron en el Spun Chat de esa persona, para que las palabras no sobrevivan en un segundo lugar.

Proxy propio

Qué es el Proxy propio, y qué puede ver

Cada sesión de WhatsApp vinculada llega a WhatsApp desde alguna dirección de internet. Spun nunca vincula un número directamente desde el centro de datos del gateway. Antes de que se muestre el código QR, confirmas el país donde usas WhatsApp normalmente, y una conexión nueva sin Proxy propio usa entonces una de dos rutas administradas. Donde el gateway de WhatsApp tiene una conexión regional en ese país, la sesión pasa por ella (se muestra como una “conexión Spun”); esto forma parte del servicio de gateway que ya figura en nuestra lista de subencargados. Donde no la tiene, la sesión pasa por una dirección de internet residencial en ese país, suministrada por la red de proxy que figura en la misma lista (se muestra como una “conexión temporal”). Spun registra el país confirmado, que no se puede editar después de vincular. En las conexiones temporales, comprueba periódicamente que la conexión realmente sale desde ese país, y pausa las conexiones nuevas si una comprobación indica lo contrario. Si ninguna de las dos rutas está disponible para tu país, no se muestra ningún QR y se te ofrece el Proxy propio en su lugar.

El Proxy propio es la alternativa opcional: tu canal de WhatsApp se conecta a través de una dirección IP que tú controlas. Ejecutas un pequeño programa de túnel en una computadora, o en una Spun Box (un pequeño router de tu propiedad, configurado con el mismo programa), en tus propias instalaciones, y la sesión de WhatsApp de tu canal sale hacia WhatsApp desde ahí. Todo lo que sigue se aplica también a la Spun Box; la contraseña del router se envía solo al router, por tu red local durante la configuración, y nunca a Spun.

Sea cual sea la ruta, solo la sesión de WhatsApp en sí viaja por ella. Los archivos multimedia (fotos, videos, notas de voz y documentos) se descargan y se suben directamente entre el gateway de WhatsApp y WhatsApp, nunca a través de tu computadora, de una conexión Spun ni de una conexión temporal.

El recorrido es este: el gateway de WhatsApp se conecta a un puerto de un servidor de retransmisión de Spun, el servidor de retransmisión reenvía esa conexión por un túnel TLS que tu computadora abrió hacia afuera, y tu computadora hace la conexión final con WhatsApp. Como el túnel se abre hacia afuera, no hace falta exponer nada en tu red: ni redirección de puertos ni reglas de firewall para conexiones entrantes.

Para que los administradores puedan ver por qué se cayó un canal, el programa de Proxy propio también informa a qué red está conectada su computadora: el tipo de conexión, el nombre de la red Wi-Fi cuando el sistema operativo permite leerlo, una huella unidireccional de la dirección de hardware del router (la dirección en sí no se almacena) y la dirección pública de internet. Spun registra un evento solo cuando la red cambia y lo muestra a los administradores de la organización en el “Historial de Proxy” de la configuración. Cuando un administrador ejecuta una comprobación de conexión, o la vinculación falla, Spun también abre una conexión de prueba desde esa computadora hacia su propio sitio y hacia WhatsApp Web, y registra solo el resultado y el nombre de cualquier producto de filtrado que haya respondido en lugar del sitio. Cuando un filtro responde en lugar de WhatsApp Web, Spun también guarda la cadena de certificados públicos del filtro (solo certificados, nunca una clave) para poder pedir a su proveedor de WhatsApp que confíe en ese filtro, y avisa una vez a su propio equipo; el administrador ve en pantalla que se avisó al equipo. Cuando el producto de filtrado es uno que Spun reconoce, Spun puede permitir automáticamente esa inspección para la computadora, para que la comprobación del país pueda superarse; un administrador puede desactivarlo en cualquier momento en la “Verificación de conexión segura” de la computadora, en la configuración. No recopila redes guardadas, listas de redes cercanas ni las direcciones propias de la computadora, y los celulares no informan ningún nombre de red. Cuando el Proxy propio falla, Spun también recopila diagnósticos de fallas para el soporte: los datos de conexión de la computadora (estado, dirección de salida y resultados de las pruebas) y el registro del propio programa agente, que se conservan durante 30 días y solo los ve el personal de soporte de Spun.

Los servidores de retransmisión funcionan en Núremberg y Manassas, y se usa el más cercano a tu computadora o router. Las comprobaciones de estado consultan cada configuración de forma continua y la marcan como no saludable, y luego como desconectada, cuando deja de responder; cuando el que está caído es el propio servidor de retransmisión, eso se distingue de que tu computadora esté caída, para que no recibas una falsa alarma. Spun nunca cambia por su cuenta una línea entre el Proxy propio y la conexión administrada: una organización con Proxy propio se queda en él, su línea espera en lugar de recurrir a otra ruta cuando todas las computadoras están desconectadas, y la última computadora que lleva una sesión vinculada no se puede quitar hasta que otra tome su lugar o se desconecte WhatsApp.

Proveedores

Quién más maneja tus datos

34 subencargados, publicados en una sola lista con lo que hace cada uno, lo que puede ver y dónde opera. Las categorías:

Una de esas categorías merece mencionarse aparte porque envía datos de contacto fuera de Spun: Enriquecimiento de contactos. Cuando una organización lo activa, un usuario puede pedir un perfil profesional público para un contacto guardado a la vez. Solo salen de Spun el nombre de ese contacto, su número de teléfono y el país del número, nunca el contenido de los mensajes y nunca una lista de tus contactos. La respuesta sin procesar del proveedor se elimina en un plazo de siete días, solo se conservan los campos profesionales de una lista permitida, y un administrador puede eliminar en cualquier momento todo lo que el proveedor devolvió sobre un contacto. Un número asignado en Estados Unidos es una señal de elegibilidad para la función, no una prueba de dónde vive alguien.

Spun nunca consulta a WhatsApp para buscar el número de una persona. Solo registra los identificadores que llegan con el tráfico normal de mensajes, y un chat sin número funciona como cualquier otro.

Contratos

Acuerdo de tratamiento de datos

Para los datos de tus clientes, tú eres el responsable del tratamiento y Spun es el encargado del tratamiento. Un Acuerdo de tratamiento de datos (DPA) está disponible a pedido y cubre la lista de subencargados de arriba, las transferencias internacionales y los dos límites indicados en esta página: que el compromiso de residencia se aplica a los datos almacenados por Spun y no a las copias propias del gateway de WhatsApp ni de Meta, y que las conversaciones entre dos organizaciones se alojan de forma centralizada en Alemania.