Política de privacidad de Backdoor

Esta política explica qué datos personales trata Backdoor, para qué, con quién los comparte, cuánto tiempo los guarda y cómo puedes ejercer tus derechos. Aplica al sitio backdoor.lat, a la app (app.backdoor.lat) y a su API (api.backdoor.lat), y a quienes los visitan o los usan. Forma parte de los términos de uso (backdoor.lat/terminos).

Vigente desde el 2 de noviembre de 2026.

• Sin analítica ni publicidad

  Ni backdoor.lat ni la app cargan herramientas de analítica o de publicidad de terceros.

• No vendemos tus datos

  Tampoco los usamos, ni los de los sistemas que analizamos, para entrenar modelos de IA.

• Integraciones acotadas

  De GitHub guardamos solo el id de la instalación, sin tokens. De Jira, el sitio y sus tokens cifrados, sin datos de las personas de Jira.

• Tus derechos

  Puedes pedir acceso, rectificación o supresión de tus datos escribiendo a contacto@backdoor.lat, y borrar tu cuenta tú mismo desde la app.

Backdoor («Backdoor», «nosotros») opera el sitio, la app y la API, y es responsable de los datos personales que se tratan para prestar el servicio.

Para cualquier consulta sobre tus datos o sobre esta política, escríbenos a contacto@backdoor.lat.

Según el caso, Backdoor cumple uno de dos papeles:

• Responsable

  Cuando tratamos datos para nuestros propios fines: tu cuenta, el formulario de contacto, la seguridad del servicio y la facturación.

• Encargado

  Cuando una organización nos pide analizar sus sistemas. Los datos personales que aparezcan en esos sistemas, y en los hallazgos, los tratamos por cuenta de esa organización y según sus instrucciones. Ella decide qué se analiza y debe estar autorizada para hacerlo.

Si usas Backdoor a través de una organización, por ejemplo tu empleador, esa organización administra tu acceso: puede invitarte, cambiar tu rol o sacarte del equipo.

Depende de cómo uses Backdoor:

• Formulario de contacto

  Nombre, correo corporativo, teléfono, empresa, plan y mensaje (estos dos, opcionales), si autorizaste la evaluación inicial, la página desde la que escribiste y tu dirección IP. Para confirmar la evaluación te enviamos un código de 6 dígitos que vence en 10 minutos; guardamos solo su huella (hash), no el código.

• Tu cuenta

  Nombre, correo, celular y contraseña, que se guarda solo como hash. Si entras con GitHub o Google, recibimos tu perfil y tu correo. Si activas la verificación en dos pasos, su secreto. Si completas los datos de facturación, la empresa, su identificador tributario y el correo de facturación.

• Lo que haces en la app

  Los dominios de tu organización y su verificación, los hallazgos, avisos y tickets, las conversaciones con los agentes, los análisis que pides y las autorizaciones de prueba que firmas, con tu nombre y la fecha.

• Análisis sin cuenta

  Quien pide un análisis sin cuenta declara estar autorizado con su nombre y correo; guardamos además su IP y su navegador. La IP también sirve para limitar estos análisis a 2 por hora y 10 por día.

• Datos técnicos

  Por cada sesión, la IP y el navegador. Por cada petición a la API, la ruta (sin sus parámetros), el resultado, la hora, tu identificador de usuario y tu IP. Los intentos de ingreso fallidos quedan registrados con el correo y la IP, para detectar abusos.

• Integraciones

  De GitHub, el id de la instalación y el nombre de la cuenta u organización. De Jira, el sitio, los tokens de acceso cifrados y, por cada issue que creas desde un ticket, su clave, su dirección y su proyecto. El detalle está en «GitHub y Jira».

Un análisis puede encontrar información expuesta en los sistemas analizados: contraseñas, tokens, llaves o datos personales de terceros. La guardamos como evidencia del hallazgo, para que tu organización pueda comprobarlo y corregirlo.

Esa evidencia la ven solo las personas de la organización, según su rol, y debe usarse solo para corregir la vulnerabilidad y proteger los sistemas propios. Podemos restringir el acceso si detectamos un uso indebido.

• Responder tu solicitud

  Contactarte y coordinar la evaluación inicial que pediste.

• Darte una cuenta segura

  Confirmar tu correo y tu celular con códigos, ofrecer la verificación en dos pasos y rechazar contraseñas que aparecen en filtraciones conocidas.

• Prestar el servicio

  Analizar los sistemas autorizados, mostrar y gestionar los hallazgos y conectar las herramientas que tu organización elige.

• Seguridad y trazabilidad

  Registrar quién cambia qué, poner topes para evitar abusos e investigar incidentes.

• Comunicarnos contigo

  Enviarte códigos, invitaciones y avisos sobre tu cuenta o sobre cambios en el servicio.

• Facturar

  Registrar el plan contratado y sus pagos.

• Cumplir la ley

  Responder a requerimientos de autoridades y conservar lo que la ley exige.

No usamos tus datos, ni los de los sistemas que analizamos, para publicidad ni para entrenar modelos de IA.

Cada tratamiento se apoya en una de estas bases:

• El contrato

  Crear y administrar tu cuenta, prestar el servicio, conectar las integraciones que eliges y facturar.

• Tu solicitud o tu consentimiento

  Responder el formulario de contacto, hacer la evaluación inicial que autorizas y el análisis sin cuenta que pides. Puedes retirar tu consentimiento cuando quieras; eso no afecta lo hecho antes.

• Interés legítimo

  Proteger el servicio, evitar abusos, registrar los cambios y mantener la API estable, siempre que no prevalezcan tus derechos.

• Obligación legal

  Conservar los registros tributarios y responder a las autoridades.

Cuando actuamos como encargado, la base legal la define la organización que nos pide el análisis.

Los análisis los hacen agentes de inteligencia artificial que revisan los sistemas indicados como lo haría un atacante. Solo se analiza lo que alguien autoriza: en la app, una organización con su dominio verificado; sin cuenta, quien pide el análisis declara estar autorizado.

Para hacerlo, el contenido de esos sistemas y los resultados se procesan con Venice AI, nuestro proveedor de modelos de IA, solo para hacer el análisis. No los usamos para entrenar modelos.

Las integraciones son opcionales. Las conecta alguien de tu organización desde Plugins, en la app.

• GitHub

  Instalas la app Backdoor Security en tu cuenta u organización de GitHub y eliges ahí qué repositorios ve. La usamos para leer los issues y pull requests de esos repositorios cuando los importas a tus tickets. Para confirmar que la instalación es tuya, GitHub nos entrega un permiso en tu nombre que revocamos de inmediato. Guardamos solo el id de la instalación y el nombre de la cuenta; los accesos para leer duran una hora y no se guardan en la base.

• Jira

  Autorizas a Backdoor en un sitio de Jira. Lo usamos para listar los proyectos donde puedes crear issues y, cuando lo pides desde un ticket, para crear un issue con su título, descripción, severidad, activo y CWE, y un enlace de vuelta a Backdoor. Jira lo crea a nombre de quien conectó Jira. Guardamos el sitio, los tokens cifrados y la clave, dirección y proyecto de cada issue creado. No guardamos datos de las personas de Jira: ni nombres, ni correos, ni ids de cuenta.

No vendemos los datos de estas integraciones ni los usamos para publicidad o para entrenar modelos de IA.

Puedes desconectarlas cuando quieras desde Plugins. Al desconectar Jira borramos sus tokens; los issues ya creados siguen en Jira y su enlace sigue en el ticket. Al desconectar GitHub borramos el id de la instalación y la desinstalamos de GitHub, salvo que otra organización de Backdoor la use. También puedes revocar el acceso desde GitHub (github.com/settings/installations) o desde tu cuenta de Atlassian (id.atlassian.com/manage-profile/apps).

Usamos estos proveedores para operar el servicio. Cada uno ve solo lo necesario para su tarea:

• Render

  Corre la API: ve lo que pasa por ella y sus registros.

• PlanetScale

  Aloja la base de datos: guarda todos los datos descritos aquí.

• Vercel

  Sirve el sitio y la app (archivos estáticos) y guarda registros de acceso.

• Cloudflare

  DNS y proxy delante de la API: ve el tráfico y las IP.

• Resend

  Envía los correos (códigos e invitaciones): tu correo y el mensaje.

• Twilio

  Envía los SMS con códigos: tu celular y el mensaje.

• Venice AI

  Procesa los análisis (ver «Análisis con inteligencia artificial»).

• GitHub y Google

  Solo si entras con ellos o conectas GitHub: tu perfil y correo al ingresar, y los issues y pull requests de los repositorios que tu organización elige.

• Atlassian

  Solo si conectas Jira: los proyectos del sitio que conectas y los issues que creas desde tickets.

• Have I Been Pwned

  Revisa si una contraseña aparece en filtraciones. Recibe solo los primeros 5 caracteres de su hash, nunca la contraseña.

• crt.sh y Cert Spotter

  Descubrimiento de subdominios: reciben solo el dominio que se busca.

• Supabase

  Guarda solicitudes de contacto recibidas entre el 30 de octubre y el 1 de noviembre de 2026, de un proyecto anterior que se dará de baja.

Personas de Backdoor pueden entrar a la organización de un cliente para darle soporte. Cada visita dura como máximo 60 minutos, exige verificación en dos pasos y queda registrada con su motivo.

También podemos comunicar datos cuando la ley o una autoridad competente lo exija, o cuando sea necesario para proteger los derechos y la seguridad de Backdoor, de sus clientes o de terceros, o para investigar un uso indebido del servicio.

Si Backdoor participa en una fusión, adquisición o venta de activos, los datos pueden transferirse como parte de esa operación y seguirán protegidos según esta política.

No vendemos datos personales.

La base de datos está en Estados Unidos (PlanetScale, región us-east-1) y la API corre en servidores de Render en Estados Unidos. Vercel y Cloudflare operan en distintos países.

Por eso, al usar Backdoor tus datos se transfieren fuera de Chile, en la medida necesaria para prestarte el servicio. Cada proveedor los trata según sus términos de tratamiento de datos, con obligaciones de confidencialidad y seguridad, y solo para prestarnos su servicio.

• Solicitudes de contacto

  12 meses, si no pasan a ser clientes.

• Tu cuenta

  Hasta que la borras desde la app. Si tu rol es propietario, se borra también la organización con sus dominios, hallazgos y equipo. Las autorizaciones de prueba que firmaste en otra organización se conservan como evidencia.

• Tu organización

  Hasta que su propietario borra la cuenta, o 90 días después de terminar el contrato.

• Sesiones

  30 días después de vencer.

• Códigos y topes de uso

  Un día después de vencer.

• Registro de cambios

  Cada cambio en los datos queda registrado, por seguridad y trazabilidad, y se conserva aunque se borre la cuenta. A los 24 meses se le quitan los datos personales.

• Análisis sin cuenta

  30 días, con su autorización. El enlace público a un reporte se borra 7 días después de vencer o al revocarse.

• Registros del servidor

  Hasta 30 días, salvo que una investigación de seguridad o una obligación legal exija guardarlos más tiempo.

• Facturación

  El plazo que exige la ley tributaria.

Lo que se borra puede seguir un tiempo acotado en los respaldos de la base, hasta que esos respaldos vencen.

Lo que ya se envió a un tercero a pedido tuyo, como un issue creado en Jira, sigue las reglas de ese tercero: borrarlo en Backdoor no lo borra allá.

Todo viaja cifrado (TLS) y la base está cifrada en reposo. Las contraseñas se guardan solo como hash, los tokens de Jira van cifrados (AES-256-GCM) y nunca escribimos contraseñas, códigos ni tokens en los registros.

Cada persona ve los datos de su organización según su rol, y el registro de cambios no se puede editar ni borrar desde la API.

Ningún sistema es completamente seguro. Cuida tu contraseña y activa la verificación en dos pasos. Si un incidente de seguridad compromete tus datos personales, te avisaremos sin demora al correo de tu cuenta, y a la autoridad cuando la ley lo exija.

De acuerdo con la ley chilena de protección de datos personales (Ley 19.628, modificada por la Ley 21.719), puedes pedir, entre otros:

• Acceso

  Saber qué datos tuyos tratamos y cómo.

• Rectificación

  Corregir los que estén incompletos o equivocados.

• Supresión

  Que borremos tus datos, salvo los que debamos conservar.

• Oposición

  Que dejemos de tratarlos para un fin determinado.

• Portabilidad

  Recibir una copia en un formato de uso común.

• Bloqueo

  Que suspendamos su tratamiento mientras se resuelve tu solicitud.

Para ejercerlos, escríbenos a contacto@backdoor.lat desde el correo de tu cuenta. Podemos pedirte que confirmes tu identidad antes de responder. Te responderemos dentro de 30 días corridos; si la solicitud lo requiere, podemos extender ese plazo una vez por otros 30, y te avisaremos. También puedes borrar tu cuenta tú mismo desde la app.

Si tus datos están en los sistemas de una organización que analizamos, dirige tu solicitud a esa organización. Si nos llega a nosotros, se la haremos llegar.

Si no quedas conforme con nuestra respuesta, puedes reclamar ante la Agencia de Protección de Datos Personales o ante los tribunales competentes.

backdoor.lat no usa cookies ni guarda nada en tu navegador.

La app usa una cookie de sesión, necesaria para mantenerte conectado. No hay cookies de analítica ni de publicidad.

La app también guarda en tu navegador algunas preferencias: el idioma, si la barra lateral está abierta, lo que viste hace poco, tus reacciones a las noticias y el ancho de algunos paneles. Esas preferencias no salen de tu navegador. Si tenías tickets guardados en el navegador de una versión anterior, la app los sube una vez a tu organización.

Backdoor es un servicio para empresas y no está dirigido a menores de 18 años. No recolectamos a sabiendas datos de menores; si crees que un menor nos entregó datos, escríbenos y los borraremos.

Si cambiamos esta política, publicaremos aquí la nueva versión con su fecha. Si el cambio es importante, te avisaremos además por correo o en la app.

Para preguntas sobre esta política o sobre tus datos, escríbenos a contacto@backdoor.lat.