Qué protegemos y cómo.

Dónde están tus datos

Los datos de la app se almacenan en Frankfurt (Alemania), en Supabase. La monitorización de errores (Sentry) también está alojada en Frankfurt.

Algunos encargados del tratamiento están fuera de la Unión Europea: Vercel (alojamiento de la app, cómputo en Frankfurt, empresa estadounidense), Resend (correos electrónicos) y Anthropic (asistente). Estas transferencias están cubiertas por el EU-US Data Privacy Framework o por las Cláusulas Contractuales Tipo de la Comisión Europea.

La lista completa, con la función de cada uno, está en la página Encargados del tratamiento.

A qué accede Hokku en tu tienda

Hokku solo pide a Shopify los accesos que necesitan sus funciones: productos, inventario, descuentos, cesta, tema, archivos, pedidos, envíos y mercados.

• Los pedidos sirven para medir tus resultados: leemos el importe y el número de pedido.
• Hokku no guarda ningún dato de contacto de tu clientela: ni nombre, ni correo electrónico, ni dirección.
• Las visitas se asocian a un identificador aleatorio, nunca vinculado a un nombre.

Cada intercambio se verifica

• Todas las conexiones usan HTTPS. Los navegadores tienen la instrucción de no volver nunca a HTTP durante un año.
• Cada mensaje que Shopify envía a Hokku se verifica con una firma. Un mensaje con una firma incorrecta se rechaza.
• Las solicitudes que llegan desde tu tienda se verifican del mismo modo.
• En el panel de administración de Shopify, la app se abre con un token de sesión emitido por Shopify, válido durante un tiempo limitado.

Técnicamente: HSTS max-age 31536000 · firmas HMAC SHA-256 comparadas en tiempo constante · cabeceras nosniff, Referrer-Policy y Permissions-Policy, CSP estricta en el App Proxy.

Cuánto tiempo conservamos tus datos

• Cuando desinstalas Hokku, tus sesiones se eliminan al instante.
• Unas 48 horas después, Shopify solicita el borrado de los datos de tu tienda: se eliminan los tokens de acceso, los tickets de soporte y las conversaciones, y se anonimizan los números de pedido.
• Tu configuración se conserva 60 días, por si vuelves, y después se elimina.
• Conversaciones con el asistente: 30 días.
• Tickets de soporte: 12 meses. La dirección de correo electrónico de respuesta: 90 días.
• Un dato eliminado puede permanecer hasta 7 días en las copias de seguridad.
• Las copias de los correos electrónicos que enviamos se conservan 30 días en nuestro proveedor de correo, más 7 días de copia de seguridad.
• Una solicitud de acceso de uno de tus clientes recibe respuesta en un plazo de 30 días.

Los detalles están en nuestra política de privacidad y en nuestro acuerdo de tratamiento de datos.

Copias de seguridad y registros

• La base de datos se copia cada día. Cada copia de seguridad se conserva 7 días.
• Supabase indica: «All customer data is encrypted at rest with AES-256 and in transit via TLS.» (supabase.com/security)
• La monitorización de errores no registra datos personales, direcciones IP ni contenido de las solicitudes.
• Los registros del servidor se conservan 1 día; los de la base de datos, 7 días.

Vigilamos nuestro código

• Cada cambio se analiza para detectar una contraseña o una clave olvidada en el código.
• Las bibliotecas que usamos se comparan de forma continua con bases de datos de vulnerabilidades conocidas.
• Las correcciones de seguridad de estas bibliotecas se proponen automáticamente.
• El acceso a las cuentas de administración está restringido y protegido con autenticación reforzada.

Técnicamente: controles automáticos en cada cambio del código, en todo su historial, y vigilancia continua de las vulnerabilidades conocidas.

Informar de una vulnerabilidad

Escribe a support@gethokku.com. Si la vulnerabilidad es grave, pon «[URGENT]» en el asunto: estos mensajes se leen todos los días.

• Acuse de recibo en un plazo de 5 días hábiles.
• Primera evaluación en un plazo de 14 días.
• Información sobre el avance al menos una vez al mes.
• Nuestro objetivo es desplegar una corrección en un plazo de 90 días y, después, acordar contigo la fecha de publicación.
• Una investigación realizada de buena fe, dentro de esta política, no dará lugar a ninguna acción legal por nuestra parte.