# Confianza y procesamiento de datos Todo lo que normalmente pregunta la revisión de seguridad o el cuestionario de compras, en un solo lugar. Cada respuesta lleva a un documento que la hace obligatoria, así que esta página resume y no añade ninguna promesa propia. ## Dónde viven los datos | Qué | Dónde | |---|---| | Cálculos, base de datos, archivos de informes | Hetzner, Núremberg (Alemania) | | Edge | Cloudflare con reglas de caché de la región EU; los datos de nacimiento pasan en tránsito y no se almacenan allí | | Administración | Desde Ucrania, a través de SSH con clave. El capítulo V del GDPR lo considera una transferencia, por lo que el DPA lo cubre con las Cláusulas Contractuales Estándar | Detalles y justificación: [GDPR / residencia en la UE](/eu/). ## Quién los procesa | Parte | Qué recibe | Dónde se menciona | |---|---|---| | Hetzner Online GmbH | todo lo que almacenamos, como hosting | [DPA](/legal/dpa/), sección 4 | | Cloudflare, Inc. | Solicitudes HTTP en el camino a nuestro servidor | [DPA](/legal/dpa/), sección 4 | | AI-proveedores | solo el mapa calculado (signos, casas, aspectos) en los endpoints de IA; sin fecha y hora de nacimiento, coordenadas, nombre o lugar | [Política de privacidad](/privacy/), sección 8 | | Brevo | correo electrónico de tu cuenta, para enviar correos de servicio | [Política de privacidad](/privacy/), sección 8 | | Monobank, LiqPay | datos de pago del propietario de la cuenta; datos de nacimiento nunca | [Política de privacidad](/privacy/), sección 8 | En el DPA solo las dos primeras, porque solo ellas tocan los datos de tus solicitudes API. El resto procesa datos de la cuenta, donde el controlador somos nosotros, no tú. ## Cuánto tiempo los conservamos | Datos | Plazo | |---|---| | Registro de solicitudes (sin parámetros de solicitud) | 30 días | | Archivos PDF de informes (`/v1/reports/*`), con lo que tú les enviaste | 24 horas o `retain_days` que hayas configurado, hasta 90; se pueden eliminar antes | | Registro de solicitudes de IA | 90 días | | Contadores diarios de uso | 365 días | | Cuenta | mientras no la elimines; la eliminación se puede revertir en 30 días, después es definitiva | | Registros de pagos | 1095 días, como exige la legislación fiscal de Ucrania | | Copias de seguridad cifradas | salen de rotación en 90 días | Eliminás la cuenta tú mismo: en el panel o con la solicitud `DELETE /v1/me/account`. Fuente: [Política de privacidad](/privacy/), sección 5, y [DPA](/legal/dpa/), secciones 2 y 9. ## Cómo están protegidos - Solo TLS; HTTP normal se redirige. - Las contraseñas se hash con bcrypt. - Las claves API desde 2026-10-15 se almacenan solo como hash SHA-256, por lo que la clave se muestra una sola vez, al crearla. Si la pierdes, la rotas; nadie puede leerla de nuevo, ni nosotros. - Las direcciones IP se almacenan como SHA-256 con sal, nunca en texto plano. - La base de datos escucha solo loopback, con una cuenta separada para cada consumidor. - Las copias de seguridad se cifran con AES-256 antes de salir de la máquina. - Sobre una fuga que afecte tus datos, te notificamos sin demora injustificada. Fuente: [DPA](/legal/dpa/), secciones 5 y 8. ## Acuerdo [Acuerdo de procesamiento de datos](/legal/dpa/) bajo el artículo 28 del GDPR está vigente con cualquier plan de pago, desde Indie. Lo lees, lo aceptas con un botón en el panel y descargas el PDF con el registro de aceptación. Sin llamada de ventas y sin papel firmado: el artículo 28(9) acepta forma electrónica. ## Disponibilidad - Estado actual y 90 días de historial: [status.astroway.info](https://status.astroway.info/), descripción en la página [Estado](/status/). - Compromisos de uptime y compensaciones por planes: [SLA](/sla/). ## Contactos - Incidentes de seguridad: [security@astroway.info](mailto:security@astroway.info) - DPA y cuestiones legales: [legal@astroway.info](mailto:legal@astroway.info) - Tus datos y tus derechos: [api@astroway.info](mailto:api@astroway.info)