Seguridad y confianza

Para las áreas de tecnología y de seguridad de las entidades que evalúan Winclus. Versión del 28 de septiembre de 2026.

1. Lo que corre en la página del sitio

• Un solo script. widget.js es un cargador de unos 3 KB comprimido que trae el widget completo desde winclus.com cuando la página ya se pintó. No carga código de terceros.
• Versión fija con huella. Quien lo prefiera instala widget-X.Y.Z.js con el atributo integrity (SHA-384): si el archivo cambiara en el servidor, el navegador no lo ejecutaría. Las versiones fijas publicadas no se modifican nunca. Está explicado en la guía técnica.
• Sin eval ni código generado. El widget no ejecuta texto como código.
• Política de seguridad de contenido (CSP). Funciona con CSP estricta: toma el nonce de su propia etiqueta y lo pone en los estilos que añade.
• Aislado del sitio. Su panel vive en un shadow DOM: sus estilos no tocan los del sitio y los del sitio no rompen los suyos.
• Todo se puede apagar. Cada función (cámara, arreglos al vuelo, traducción, cifras de uso) se apaga con un atributo o desde el panel de cliente. En sitios públicos (.gov.co y similares) los arreglos al vuelo no cambian la página: solo informan lo que falta.
• No estorba a los lectores de pantalla. Empieza fuera del árbol de accesibilidad hasta ver a alguien que usa la pantalla con la vista, y se aparta cuando detecta que un lector de pantalla activa los controles (probado con NVDA 2026).

2. Lo que sale del navegador

• Nada, si el sitio no tiene clave. Sin data-clave, el widget no manda nada a Winclus. La cámara se analiza en el propio navegador y nunca se envía.
• Con clave de sitio: al salir de cada página, solo números (cuántas veces se abrió el panel y qué opciones se tocaron) y, una vez al día por página, la lista de arreglos al vuelo con la ruta de la página, sin la parte de la dirección que puede llevar datos de la persona (lo que va después de «?» o «#»).
• Solo si la persona lo pide: la voz para el dictado (al reconocedor del navegador), el texto visible de la página para traducirla o explicarla en fácil, y la dirección de una imagen para describirla. Lo que la persona escribe en los formularios del sitio nunca se envía.
• El detalle, dato por dato, está en la política de privacidad.

3. Dónde están los datos de las entidades

• Alojamiento web: Vercel, con HTTPS obligatorio (HSTS con precarga), cabeceras de seguridad y política de contenido en winclus.com.
• Base de datos del panel: Supabase (PostgreSQL) en São Paulo, Brasil. Según el proveedor, los datos se cifran en reposo; todas las conexiones van cifradas.
• Acceso por cuenta y por rol: cada tabla tiene reglas de seguridad por fila. Una cuenta solo ve sus sitios; las personas invitadas ven solo los sitios de quien las invitó; el rol «Solo ver» no puede cambiar nada, y la base de datos lo impide aunque alguien intente saltarse el panel.
• Pagos: los procesa Wompi (Bancolombia). Winclus no ve ni guarda datos de tarjetas ni de cuentas bancarias; el pago se confirma con una firma que Winclus verifica.
• Entrada al panel sin contraseñas: con un enlace de un solo uso enviado al correo.
• Claves: la clave del sitio es pública por diseño (solo sirve para pedir su configuración y mandar cifras). Las claves de servicio viven solo en el servidor.

4. Código abierto y pruebas

• El código del widget se puede leer completo en winclus.com/winclus-widget.js, para que cualquiera lo audite (es software propietario de Winclus, con licencia de uso).
• Cada versión pasa una batería de pruebas automáticas, y las principales también en Firefox y WebKit además de Chromium. Los resultados están en la página de evidencia.
• El estado del servicio se comprueba en vivo y publica los incidentes.

5. Lo que todavía no tenemos

Para que la entidad decida con toda la información:

• Winclus no tiene todavía certificación ISO/IEC 27001 ni un informe SOC 2.
• Aún no se ha hecho una prueba de penetración externa. Está prevista y se publicará aquí su resumen.
• El acuerdo de nivel de servicio y el contrato de encargo de tratamiento de datos se entregan con el contrato del plan.

6. Reportar un fallo de seguridad

Si encuentras una vulnerabilidad en el widget, en winclus.com o en el panel, escríbenos a hola@winclus.com con el asunto «Seguridad» y los pasos para reproducirla. Respondemos en 3 días hábiles, te contamos cómo va el arreglo y, si quieres, te damos crédito al publicarlo. Te pedimos no acceder a datos de otras personas, no degradar el servicio y darnos un plazo razonable antes de hacerlo público. El archivo security.txt tiene estos datos en el formato estándar.