Seguridad y datos

Explicado para un comité, no para un ingeniero.

Qué viaja en el QR, quién puede ver qué, qué guardamos y por cuánto tiempo, y qué pasa cuando algo falla. Nadie en el mercado lo escribe. Nosotros sí.

Lo que ve la cámaraSin datos personales
Código QR de ejemplo
Cambia en 60 s

22 caracteres. Ni nombre, ni unidad, ni correo.

Qué viaja en el QR

Una foto de tu código no es tu código.

Lo que se pinta son 22 caracteres para un visitante, 18 para un residente. Nada de lo que un lector de pantalla podría convertir en un nombre.

  • Prefijo de formato. Dice si es un pase de visita o la credencial de un residente.
  • Identificador opaco. Un código sin significado, que no se puede convertir en una persona ni en una unidad sin nuestra base de datos.
  • Número del minuto. Ocho dígitos que tu teléfono genera cada 60 segundos, sin internet, a partir de una clave que nunca sale de él. Una captura reenviada por WhatsApp muere en dos minutos.
Anatomía de un pase
1VK7M2X9QRT4VB48213957
Se acepta una sola vezAnti-reutilización en la nube y en la garita
Tolerancia de relojTres minutos, para un teléfono con la hora corrida
Revocado = no abreEl estado manda sobre lo que traiga el visitante
Alfabeto sin I, L, O ni UPara dictarlo por radio sin equivocarse
Quién entra al sistema

Nadie obtiene acceso a una unidad sin que un humano responsable lo apruebe con nombre y apellido.

Un condominio no se autoregistra: lo damos de alta nosotros con su primer administrador. Un residente nuevo pide vincularse con nombre real, correo y teléfono, y la administración aprueba o rechaza. La decisión queda auditada.

  • Revocar es en cascada: cuando alguien se muda, sus pases activos y sus credenciales se anulan en la misma operación.
  • Aislamiento por condominio en dos capas: en la base de datos y en el servidor. Una falla en una no abre la otra. Nadie ve datos de otro condominio, ni manipulando la petición.
  • Permisos por persona: 16 interruptores, con reglas que impiden que alguien se dé a sí mismo más permisos de los que tiene.
  • El acceso del equipo de Amber también queda en bitácora. Cada acción nuestra sobre tus datos se registra con quién, qué y cuándo, y el condominio la puede consultar.
Quién ve qué
DatoResidenteGaritaAdmin
Accesos de mi unidadDel día
Estado de cuentaEl míoNo
Quién reservó el gazeboNo, solo «ocupado»
Miembros y menores del hogarEl míoNoSí, sin editar
Quién abrió un comunicadoNoNo
Datos de otro condominioNoNoNo
Qué pasa cuando algo falla

Degradar, nunca colgarse. Y decirlo por escrito.

Cada mensaje de la app dice qué pasó y qué hacer. Un fallo de lectura nunca se disfraza de cero: decir «no tienes paquetes» cuando no se pudieron leer es mentir.

SituaciónQué pasa

Tu teléfono no tiene internet

Tu código de acceso y tus pases se generan igual: la clave vive en tu teléfono. La app te muestra lo último que vio, marcado como tal, y nunca un cero inventado.

Estás fuera del país

Generas el pase, lo mandas por WhatsApp y recibes el aviso de que tu visita entró. No hay ninguna restricción por ubicación, porque la app no la conoce.

La garita se queda sin señal

El escáner muestra «Sin validar» en ámbar, con el código escrito, y el guardia decide. Lo que registre se sincroniza al volver la red. Un equipo que valida sin internet llega próximamente, como opción.

Alguien reenvía la captura de un pase

La captura muere en dos minutos, y el mismo código no se acepta dos veces. Lo que sí es copiable es el enlace del pase: por eso el delivery es de un solo uso y las vigencias son cortas por defecto.

Pierdes el teléfono

Entras desde otro dispositivo y revocas esa credencial en Ajustes › Seguridad. Deja de abrir al instante. Las acciones importantes pueden pedir huella o Face ID, si lo activas.

El residente no contesta al intercomunicador

La solicitud pasa a la garita con un aviso. Nunca se queda colgada en silencio.

Cambia la junta o el administrador

La información se queda en el condominio: accesos, pagos, gastos, actas. Se nombra un administrador nuevo y el saliente pierde acceso. Todo es exportable.

Una actualización rompe algo

Cada fallo llega a nuestro equipo con el modelo del teléfono y el punto exacto, sin tu contraseña ni el contenido de tus pantallas, y sabemos a cuántas personas afecta antes de que llamen.

Dónde viven los datos

Cifrado en tránsito, fotos sin dirección pública y una contraseña que nunca vemos.

  • Todo viaja cifrado entre tu teléfono y nuestros servidores.
  • Las fotos no tienen enlace público. Viven en un depósito privado y cada vez que alguien autorizado las mira, se emite un enlace temporal que caduca en minutos.
  • Tu contraseña no se guarda: solo una huella irreversible de ella.
  • La clave de tu QR se guarda cifrada con una llave que no está en la base de datos. Una copia robada de la base, por sí sola, no permite fabricar códigos válidos.
  • Copia de seguridad verificada de verdad: restaurada y comparada tabla por tabla, no solo «programada».
  • Tus derechos bajo la Ley 172-13 de República Dominicana: acceder, rectificar, cancelar y oponerte. Y eliminar tu cuenta desde la app, sin escribirnos.
Quién procesa datos por cuenta de Amber
ProveedorPara qué
SupabaseBase de datos, autenticación y depósito de fotos
RenderServidor de la aplicación
VercelSitio web
Google FirebaseNotificaciones push y reportes de fallas
ExpoDistribución de actualizaciones de la app
ResendCorreos del sistema
SentryRegistro de errores técnicos, sin contraseñas ni sesiones

Operan principalmente en Estados Unidos, bajo sus propios acuerdos de tratamiento. Fuera de esta lista, Amber no comparte datos con nadie sin el consentimiento del condominio o una obligación legal.

Lo que no hacemos

Escrito en la política de privacidad, no en un discurso.

  • 01

    No usamos publicidad.

    Ningún componente publicitario en la app.

  • 02

    No te rastreamos ni vendemos tus datos.

    Ni a través de otras apps, ni de otros sitios, ni a terceros con fines comerciales.

  • 03

    No recogemos tu ubicación.

    La app no pide ese permiso. Lo que registra es el paso por un punto de acceso, informado por la garita.

  • 04

    No accedemos a tus contactos, mensajes, llamadas ni archivos.

    Solo recibimos la foto que tú eliges adjuntar.

  • 05

    No hay reconocimiento facial ni grabación.

    Si un condominio conecta sus cámaras, es una ventana para ver quién está afuera al abrir. No vigilancia.

  • 06

    No perfilamos ni decidimos por ti.

    Ninguna decisión automatizada sobre una persona a partir de sus movimientos.

Para tu comité

¿Tienes una pregunta que no está aquí? Hazla.

Respondemos por escrito, para que puedas llevarlo a la asamblea.