Cifrado en tránsito
El tráfico entre la aplicación y Supabase, la función de servidor de IA y los servicios publicitarios de Google utiliza HTTPS/TLS. La aplicación no permite el tráfico HTTP sin cifrar.
Cifrado en reposo
Supabase cifra el almacenamiento de la base de datos. Las partidas guardadas permanecen en el almacenamiento privado de la aplicación en tu dispositivo.
Control de acceso
Row Level Security (RLS) está activado en todas las tablas de Supabase, de modo que la clave pública solo puede hacer lo que permiten las reglas, como añadir eventos de analítica y leer contenido compartido. La clave de rol de servicio nunca se incluye en la aplicación.
Gestión de secretos
La clave de la API de OpenAI es un secreto del lado del servidor de la función Edge de Supabase y no está incluida en la aplicación.
Prevención de abusos
La función de IA limita el número de solicitudes por cliente y reenvía únicamente el mensaje actual y hasta seis mensajes recientes.
Mínimo privilegio
Los derechos de administrador están limitados a dos desarrolladores. Supabase, Google Play Console, AdMob y OpenAI utilizan verificación en dos pasos.
Dependencias y publicaciones
Actualizamos con regularidad los SDK y las bibliotecas, y revisamos los avisos de seguridad antes de cada publicación. La aplicación está firmada con Play App Signing.
Salvaguardas del asistente de IA
- Antes del primer uso, se informa a los jugadores de que sus mensajes se envían a OpenAI y se les advierte que no compartan información personal.
- Los jugadores pueden informar de respuestas de IA ofensivas o dañinas desde la pantalla de chat.
- Las conversaciones no se almacenan en nuestra base de datos, nuestros registros del servidor no guardan el texto de los mensajes, y no usamos las conversaciones para entrenar nuestros propios modelos.
Brechas de datos personales
Si detectamos una brecha de datos personales, la contenemos, evaluamos el riesgo y, cuando es obligatorio, notificamos a la autoridad de protección de datos en un plazo de 72 horas. Cuando el riesgo para los jugadores afectados es alto, les informamos sin dilación indebida (artículos 33 y 34 del RGPD). Llevamos un registro interno de incidentes.
Notificación de un problema de seguridad
Si encuentras un problema de seguridad, envía los detalles a contact@arojentarinat.com. Concédenos un tiempo razonable para corregir el problema antes de publicarlo. Acusamos recibo de los informes en un plazo de 5 días laborables, y no emprenderemos ninguna acción contra las investigaciones realizadas de buena fe.
Informes de seguridad: contact@arojentarinat.com. Solicitudes de privacidad: consulta la Política de privacidad.