Seguridad

• Mínimo privilegio: cada usuario ve solo su negocio y rol.
• Defensa en profundidad: transporte cifrado, sesión segura, headers HTTP.
• Transparencia: políticas públicas y canales para titulares de datos.
• No afirmamos certificaciones que no tengamos publicadas.

• HTTPS / TLS en el sitio y API.
• Cookies de sesión httpOnly, SameSite y secure en producción.
• Contraseñas hasheadas (nunca en texto plano).
• Rutas de administración restringidas a super-admin.

• Base de datos en infraestructura profesional (cloud/VPS según despliegue).
• Copias de seguridad según política del proveedor e interna.
• Cobros de suscripción y citas vía pasarelas (Wompi/Stripe, etc.): no almacenamos PAN completo de tarjetas.
• Roles de responsable/encargado en /tratamiento-datos.

• Headers de seguridad (CSP, frame, nosniff, HSTS en prod, etc.).
• Rate limiting en login, registro y endpoints sensibles.
• Secretos de cron y webhooks con autenticación; fall-closed si faltan en prod.
• Tokens para acciones sensibles (p. ej. descarga .ics, reseñas).

Analítica y marketing solo con consentimiento. Detalle en Política de cookies.

Ante un incidente de seguridad con impacto material en datos personales, notificamos a los contactos de cuenta afectados en un plazo razonable y cooperamos según la ley colombiana aplicable. Ver también el encargo de tratamiento.

Cada negocio debe proteger el acceso de su equipo, usar contraseñas fuertes y tratar los datos de sus clientes con base legal propia. Citalvo no sustituye políticas internas de una IPS o franquicia.

• Privacidad
• Encargo de tratamiento
• Centro legal