Seguridad y privacidad

Infraestructura

PollsLive runs on EU-based infrastructure with layered availability, access, and abuse-prevention controls. We keep implementation details private.

Residencia de datos

Todos los datos de usuario (cuentas, encuestas, respuestas, adjuntos) se almacenan en la Unión Europea, en infraestructura ubicada en la UE. Una parte se procesa fuera de la UE por:

• Analíticas de Cloudflare: solo métricas de tráfico anonimizadas y agregadas (sin datos personales). Cloudflare Web Analytics solo se ejecuta tras aceptar las analíticas en el banner de consentimiento, y antes de eso no se carga nada relacionado con analítica.
• Funciones de IA: el contenido de las encuestas y los mensajes de chat se envían a nuestro proveedor de IA para generación, branching y el asistente Pulse AI. Si un anfitrión ejecuta un resumen de respuestas con IA sobre una encuesta, también se envían las respuestas de texto abierto de sus participantes.
• Otros encargados del tratamiento: pagos, envío de correo, monitorización de errores y cualquier integración que conectes tú. Cada uno figura, con su finalidad, los datos que trata y su ubicación, en nuestra página de subencargados: esa lista es la autorizada, no este resumen.

Cifrado

• In transit: Traffic is encrypted using modern transport security.
• Passwords: Passwords are protected using industry-standard one-way storage. Plaintext passwords are never retained.
• Account recovery: Reset and verification links are time-limited and protected against reuse.
• API credentials: Credentials are protected, shown only when needed, and can be revoked or rotated.
• Webhooks: Outbound webhook requests are signed so recipients can verify authenticity. Signing credentials can be rotated in Studio.

Autenticación

PollsLive admite dos métodos de inicio de sesión:

• Google OAuth: usa el proveedor de identidad oficial de Google. Solicitamos únicamente los ámbitos email y profile.
• Email + password: passwords use secure one-way storage, and password resets use a time-limited, single-use link sent to the registered email.

Sign-in sessions are protected and expire automatically. Changing your password invalidates existing sessions.

Los intentos fallidos repetidos de inicio de sesión se ralentizan y después se bloquean, y el inicio de sesión no revela si una cuenta existe. Las cuentas pueden bloquearse por infringir los Términos del servicio.

Seguridad de la API

• Autenticación Bearer: todas las rutas /api/v1/ requieren una clave de API válida (plv_live_…) o un token de acceso OAuth 2.0 (plv_oauth_…).
• Comprobación de credenciales: las credenciales de la API se verifican de forma que el tiempo de respuesta no revela información.
• Límite de peticiones: cada clave de API y cada cliente OAuth tiene un límite de peticiones por minuto, y las sesiones en directo simultáneas están limitadas según el plan.
• CORS: /api/v1/ no establece cabeceras CORS permisivas; el acceso desde otro origen requiere una clave de API.
• Falsificación de peticiones y bots: los cambios hechos en el Studio están protegidos frente a la falsificación de peticiones entre sitios, y las votaciones públicas, frente al abuso automatizado.
• Validación de entradas: cada petición se valida antes de procesarse.

Consulta Límites de tasa y errores para todos los detalles.

Refuerzo de la aplicación

Más allá de la infraestructura y los controles de la API, la capa de aplicación aplica:

• Control de acceso al espacio de trabajo: las encuestas y los datos del espacio de trabajo solo están disponibles para su propietario y para las personas con quienes este los comparte. Una página pública de resultados muestra solo lo que decides publicar.
• Conexiones salientes: los webhooks y los destinos de leads que configures deben usar HTTPS.
• Protección contra bots: la votación, el formulario de contacto y el inicio de sesión están protegidos frente al abuso automatizado.
• Cabeceras de seguridad: CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Cross-Origin-Opener-Policy y sin filtración de X-Powered-By.
• Higiene de dependencias: las dependencias se analizan con regularidad; los problemas conocidos se parchean por nuestro proceso normal de publicación.

Cumplimiento del RGPD

PollsLive está diseñado para cumplir el RGPD desde la base:

• Exportación de datos: descarga todos tus datos (cuenta, encuestas, respuestas) en JSON desde Studio → Ajustes → Descargar mis datos.
• Eliminación de la cuenta: borra tu cuenta, espacio de trabajo, encuestas y respuestas tras un paso de confirmación. Algunos registros se conservan, como explica nuestra Política de privacidad: los registros de facturación y facturas durante 7 años, porque lo exige la ley fiscal neerlandesa, y un breve registro de eliminación (la hora, quién eliminó la cuenta, el plan, el idioma, recuentos y un hash con clave del correo electrónico, nunca tu nombre ni la dirección en sí). Las copias de seguridad caducan en un plazo de 35 días.
• Consentimiento de cookies: las cookies están categorizadas (Necesarias, Analíticas, Preferencias). Las analíticas solo se activan tras el consentimiento.
• Voter anonymity: voters do not need an account, and votes are not tied to a name or email unless a participant voluntarily provides a display name. We do not build device profiles.
• Acuerdo de tratamiento de datos: nuestro DPA se aplica automáticamente a todos los espacios de trabajo, gratuitos y de pago, y forma parte de nuestros Términos. No necesitas solicitarlo ni firmarlo. Léelo en nuestra página del DPA.

Abuso y moderación

Las encuestas públicas pueden denunciarse por abuso mediante el botón Denunciar de cada página de encuesta. El equipo de PollsLive revisa las denuncias. Las infracciones confirmadas provocan la retirada de la encuesta y la suspensión del espacio de trabajo.

El Q&A de las sesiones en vivo admite moderación por parte de quien presenta: todas las preguntas quedan retenidas hasta su aprobación antes de aparecer en pantalla cuando se establece moderated: true.

El escaneo automatizado y el tráfico abusivo se bloquean, y nuestro equipo revisa la actividad sospechosa de inicio de sesión.

Divulgación responsable

¿Has encontrado una vulnerabilidad de seguridad? Comunícala en privado mediante nuestro formulario de contacto (selecciona Seguridad / Informe de error). Buscamos responder en un plazo de 72 horas y, si lo deseas, te acreditaremos una vez resuelta.

Te pedimos que no divulgues públicamente las vulnerabilidades antes de que hayamos podido corregirlas.