Seguridad, divulgación responsable y avisos de vulneración

1Nuestros compromisos

2Cómo protegemos tus datos

La ley nos pide medidas de seguridad administrativas, técnicas y físicas (LFPDPPP, art. 18). Aquí describimos solo las que existen, sin detalles que ayuden a un atacante.

Técnicas

• Conexión cifrada (HTTPS con TLS) en todo el sitio, con HSTS para que tu navegador no use conexiones sin cifrar.
• Contraseñas guardadas con bcrypt y sal: nunca en texto legible.
• Verificación de tu teléfono con un código que vence en minutos y tiene límite de intentos. También verificamos tu correo.
• Sesiones que puedes cerrar en todos tus dispositivos con un clic. Al cambiar o restablecer tu contraseña, se cierran las demás sesiones.
• Fotos sin metadatos (EXIF), incluida la ubicación GPS que guardan algunos teléfonos.
• En las páginas públicas, la ubicación se muestra redondeada, a alrededor de 1 km.
• Documentos privados (identificaciones, actas, cédulas y constancias fiscales) cifrados y fuera del acceso público.
• Límites de solicitudes contra abusos y extracción masiva de datos.
• Reglas en el navegador que impiden cargar código de sitios no autorizados (política de seguridad de contenido).
• Respaldos cifrados.
• A la IA solo le enviamos fotos de perros; nunca documentos, chats ni datos de contacto.

Administrativas

• El acceso al panel de administración está limitado al personal administrador.
• Verificación en dos pasos obligatoria para el personal administrador.
• Bitácora de las acciones del personal administrador y registro de incidentes.
• Deber de confidencialidad para quienes tratan datos (sección 11).

Físicas

Los servidores están en centros de datos de [PROVEEDOR DE HOSTING]. Las medidas físicas de esas instalaciones, como el control de acceso, las aplica el proveedor conforme a su contrato. [VERIFICAR: cuando definas dónde se guardan los escritos en papel que lleguen al domicilio, escribe aquí: «Los escritos en papel que nos entregues (por ejemplo, una solicitud de derechos) se guardan bajo llave y solo los consulta el personal autorizado.»; si no, pon true]

Nuestro programa de seguridad toma como referencia las Recomendaciones en materia de seguridad de datos personales (DOF 30-10-2013) y la norma ISO/IEC 27001. [VERIFICAR: cuando existan el escaneo de dependencias en CI y una prueba de penetración, escribe aquí el texto, p. ej. «Aplicamos actualizaciones de seguridad al software y sus dependencias, y hacemos pruebas de seguridad; la última fue el ...»; si no existen, pon true y no se publica nada]

Ningún sistema es infalible. Por eso también te contamos qué hacemos si algo sale mal (sección 12).

3Quién puede ver qué

[VERIFICAR: que esta tabla coincida con lo que muestran las respuestas públicas de la API y las pantallas de la app, en especial nombre, foto y ubicación aproximada]

4Pagos y donativos

• Los pagos y donativos se procesan en Mercado Pago (Checkout Pro). PatitasFind no ve, no captura y no guarda el número de tu tarjeta, su fecha ni su código de seguridad.
• De Mercado Pago recibimos solo el identificador del pago, el monto y su estado.
• El dinero va directo a la cuenta de Mercado Pago de cada Refugio (Split). PatitasFind no lo guarda.
• Comprobamos la firma de cada notificación de pago que nos envía Mercado Pago, para que nadie pueda hacerse pasar por ella.
• El fraude y los contracargos se atienden con las herramientas de Mercado Pago. [VERIFICAR: si ya respondiste y tienes archivado el cuestionario de seguridad de pagos PCI (SAQ A) que pide Mercado Pago, escribe aquí: «Respondemos cada año el cuestionario de seguridad de pagos (PCI) que Mercado Pago pide a los comercios.»; si no, pon true]

Hoy no ofrecemos cobros recurrentes. Si algún día ofrecemos donativos o compras que se cobren de forma automática, te pediremos un consentimiento expreso, te avisaremos al menos 5 días naturales antes de cada cobro y podrás cancelar de inmediato (LFPC, art. 76 Bis fr. VIII y IX). [VERIFICAR: que la Plataforma no tenga hoy donativos ni compras recurrentes]

5Documentos de verificación

• Para qué: comprobar que un Refugio, una Casa de paso o una Clínica existe y quién responde por ella.
• Qué documentos: identificación oficial de la persona responsable, acta constitutiva (solo las páginas necesarias), cédula profesional del veterinario y constancia de situación fiscal, según el caso. El detalle está en Verificación.
• Quién los ve: solo el personal administrador autorizado, que entra con verificación en dos pasos. Cada consulta queda registrada.
• Cómo se protegen: se guardan cifrados y fuera del acceso público. Nunca se envían a proveedores de IA ni se usan para extraer datos biométricos.
• Cuándo se borran: la imagen de identificaciones, actas y cédulas se borra 30 días después de aprobar o rechazar la solicitud; conservamos solo una constancia de la verificación, sin la imagen. La Constancia de Situación Fiscal se conserva cifrada con el expediente fiscal 10 años desde la última operación (tabla de Conservación).

Para comprobar la edad de las personas usuarias no pedimos copias de identificaciones ni usamos biometría.

6Cuentas de Mercado Pago de los Refugios

• Cada Refugio conecta su propia cuenta de Mercado Pago autorizándolo dentro de Mercado Pago. Por eso PatitasFind no necesita ni guarda la CLABE de los Refugios.
• Solo la persona responsable del Refugio, con su sesión iniciada, puede conectar o cambiar esa cuenta.
• Las credenciales de la conexión se guardan cifradas, tienen solo los permisos que el Refugio autorizó y se renuevan de forma automática antes de vencer.
• Si el Refugio retira la autorización desde Mercado Pago, borramos esas credenciales.

7Dónde se guardan tus datos

• Servidor y base de datos: [PROVEEDOR DE HOSTING], en [PAÍS O REGIÓN DEL HOSTING].
• Red de entrega y protección: Cloudflare, que cifra la conexión y ve el tráfico para protegerlo.
• Respaldos externos: [PROVEEDOR DE RESPALDOS EXTERNOS], en [PAÍS O REGIÓN DE LOS RESPALDOS EXTERNOS], siempre cifrados.
• Inteligencia artificial: Alibaba Cloud, en Singapur, solo con fotos de perros. [VERIFICAR: entidad contratante, región del servicio y ámbito de cómputo fijado en Singapur]
• Errores: Sentry, en [REGIÓN DE SENTRY], con los datos personales filtrados.
• Analítica, solo si la aceptas: PostHog, en [REGIÓN DE POSTHOG].
• Mapa: OpenStreetMap recibe tu IP al cargar el mapa y tus coordenadas cuando usas tu ubicación.

La lista completa, con lo que recibe cada proveedor: Proveedores y transferencias y la sección de flujos internacionales del Aviso de Privacidad.

8Cuánto tiempo guardamos tus datos

• Tu cuenta y tu perfil, mientras existan.
• Cuando eliminas tu cuenta, borramos tu nombre, correo, teléfono, foto, ubicación y contraseña. Solo conservamos, bloqueados y sin usarlos, los datos mínimos que la ley nos obliga a guardar, por ejemplo los de compras y donativos para fines fiscales (LFPDPPP, arts. 24 y 25).
• Imágenes de documentos de verificación: 30 días después de la decisión.
• Interacciones con el bot de WhatsApp: hasta cumplir su finalidad y nunca más de 12 meses.
• Publicaciones importadas de Facebook (cuando esa función esté activa): 30 días.

Los plazos de cada tipo de dato están en Conservación y eliminación de datos. Esa tabla sale de la configuración que usa el sistema para borrar o anonimizar datos de forma automática.

9Respaldos y continuidad

Hacemos respaldos diarios cifrados de la base de datos y de los archivos. La copia en nuestro servidor se conserva 14 días y la copia externa 30 días; después se borran solas. [VERIFICAR: cuando la llave de los respaldos esté fuera del servidor, exista una prueba periódica de restauración registrada y el procedimiento de restauración reaplique los borrados, escribe aquí: «La llave para descifrarlos se guarda fuera del servidor. Probamos que se puedan restaurar y, si restauramos un respaldo, volvemos a aplicar los borrados hechos después de su fecha para no recuperar cuentas ya eliminadas.»; si no, pon true]

10Registros técnicos

• Qué registramos: dirección IP, navegador, fecha y hora, la página o función que se pidió y un identificador de solicitud.
• Para qué: detectar abusos, fallas y ataques, y poder investigarlos.
• Cuánto tiempo: lo que diga la tabla de conservación. El calendario prevé 90 días, con la IP acortada a los 30, salvo los registros ligados a un incidente en investigación. [VERIFICAR: que la rotación de los registros del servidor web y de la app cumpla 90 días y acorte la IP a los 30; al 17-10-2026 rotan por tamaño]
• Qué nunca registramos: tu contraseña, tus códigos de verificación ni el contenido de tus mensajes.

11Acceso del equipo

• El acceso al panel de administración está limitado al personal administrador.
• El personal administrador entra con contraseña y un código de una aplicación de autenticación (verificación en dos pasos). Sus sesiones vencen a las 8 horas.
• Las acciones del personal administrador quedan en una bitácora.
• Chats: el equipo no lee conversaciones privadas. Solo ve un mensaje cuando una de las personas de la conversación lo reporta o cuando una autoridad judicial lo ordena (Constitución, art. 16), y esa revisión queda registrada. [VERIFICAR: confirma que el panel de administración solo muestra los mensajes reportados y que cada acceso queda en la bitácora de administración]
• Confidencialidad: quienes acceden a datos personales deben guardar confidencialidad, también después de terminar su relación con nosotros (LFPDPPP, art. 20). [VERIFICAR: cuando cada persona con acceso al panel haya firmado un acuerdo de confidencialidad antes de recibir acceso, escribe aquí: «Por eso, las personas del equipo, moderadoras y voluntarias que acceden a datos firman un acuerdo de confidencialidad.»; si no, pon true]

12Si ocurre un incidente

Una vulneración de seguridad es la pérdida o destrucción de datos, su robo, extravío o copia no autorizada, su uso o acceso no autorizado, o su daño o alteración.

Si una vulneración afecta de forma importante tus derechos patrimoniales o morales, te lo informaremos de inmediato para que puedas protegerte (LFPDPPP, art. 19). [VERIFICAR: si el equipo puede comprometerse públicamente a un plazo, escribe aquí: «Nuestra meta interna es avisarte dentro de las 72 horas siguientes a confirmar el incidente, y antes si hay riesgo de fraude.»; si no, pon true]

Te avisaremos por correo y con una notificación en la app y, si el incidente es amplio, también en esta página. El aviso te dirá:

1. qué pasó y cuándo;
2. qué datos tuyos se vieron afectados;
3. qué te recomendamos hacer para protegerte;
4. qué hicimos de inmediato para corregirlo;
5. dónde puedes obtener más información.

Además:

• Registramos cada incidente: qué pasó, qué datos y personas afectó, qué hicimos y qué cambiamos.
• Si el incidente toca pagos o credenciales de Mercado Pago, avisamos a Mercado Pago en el plazo que fijan sus términos (24 horas). Si toca datos de WhatsApp o Facebook, avisamos a Meta lo antes posible.
• Analizamos la causa y aplicamos acciones para que no vuelva a pasar.
• Cuando proceda, lo denunciamos ante las autoridades competentes.

Más información en la sección de vulneraciones del Aviso de Privacidad.

13Avisos de seguridad

Aquí publicaremos los incidentes que hayamos notificado: fecha, resumen, datos afectados, acciones tomadas, estado y lo que cambiamos para evitar que se repitan.

14Cómo protegerte

Lo que nunca te pediremos

• Tu código de verificación.
• Tu contraseña.
• Pagos, anticipos o «cuotas» para adoptar, ni por teléfono ni por mensaje.
• Documentos o datos de tarjeta por WhatsApp.

Consejos

• Si alguien dice tener a tu perro y te pide dinero por adelantado, no pagues. Reporta la conversación desde la app.
• Dona solo dentro de la Plataforma o a Refugios con la insignia de verificación.
• Nuestros correos llegan desde una dirección que termina en @guauwoow.com. Revisa los canales oficiales.
• Usa una contraseña que no uses en otros sitios.
• Cierra sesión en equipos compartidos y borra los datos del sitio si guardaste tu dirección de envío.

Si crees que alguien entró a tu cuenta

1. Cambia tu contraseña. Eso cierra tus otras sesiones.
2. En Perfil, usa «Cerrar sesión en todos los dispositivos».
3. Escríbenos a seguridad@guauwoow.com o desde Perfil → Ayuda, y cuéntanos qué viste.

15Reporta una vulnerabilidad

Si encuentras una falla de seguridad en PatitasFind, escríbenos a seguridad@guauwoow.com. Describe el problema, los pasos para reproducirlo y, si puedes, su impacto. Nuestros datos de contacto para investigadores también están en /.well-known/security.txt.

Alcance

• Dentro: el sitio y la app en guauwoow.com, su API y el bot de WhatsApp de PatitasFind.
• Fuera: ataques de denegación de servicio, ingeniería social o engaños al equipo o a personas usuarias, envío masivo de mensajes, pruebas físicas, y las plataformas de terceros que usamos (Mercado Pago, Meta, Cloudflare y otros proveedores), que tienen sus propios canales.

Reglas

• No accedas a datos de otras personas más allá de lo mínimo para demostrar la falla.
• No extraigas, guardes, modifiques ni publiques datos personales.
• Detente y avísanos en cuanto confirmes la falla.
• No la hagas pública durante los 90 días siguientes a tu reporte, para darnos tiempo de corregirla.

Nuestro compromiso

• Te confirmaremos que recibimos tu reporte, te diremos si confirmamos la falla y te avisaremos cuando la corrijamos. [VERIFICAR: si el equipo puede comprometerse a acusar recibo en 3 días hábiles y a corregir las fallas críticas en 7 días; si es así, agrega esos plazos]
• Si investigas de buena fe y respetas estas reglas, PatitasFind no presentará denuncia ni acción legal en tu contra por esa investigación. Este compromiso no sustituye a la ley: el acceso no autorizado a sistemas protegidos es delito (Código Penal Federal, art. 211 bis 1), y estas reglas marcan el límite. [VERIFICAR: redacción final del compromiso de no denunciar a quien investiga de buena fe, sin prometer inmunidad penal]
• No ofrecemos recompensas económicas. Si lo deseas, podemos reconocer tu aporte en esta página.

16Solicitudes de autoridades

• Solo entregamos datos personales a una autoridad cuando recibimos por escrito una orden judicial o un requerimiento fundado y motivado de autoridad competente, o cuando la ley nos obliga.
• El contenido de los chats solo lo entregamos con autorización judicial o si una de las personas participantes lo aporta (Constitución, art. 16).
• Verificamos cada solicitud y entregamos solo lo estrictamente necesario.
• Te avisamos, salvo que la ley lo prohíba o que avisarte ponga en riesgo una investigación.
• En emergencias con riesgo para la vida o la seguridad de una persona actuamos con rapidez y registramos el caso.

El procedimiento y el contacto para autoridades están en Solicitudes de autoridades. Publicamos el número de solicitudes recibidas y cómo las atendimos, en cifras agregadas, en el informe de transparencia.

17Cómo rendimos cuentas

• Llevamos una bitácora de las acciones del personal administrador, incluida cada consulta de documentos de verificación.
• Llevamos un registro de incidentes de seguridad. [VERIFICAR: cuando exista el documento de seguridad interno con inventario de datos, análisis de riesgos y plan de trabajo, escribe aquí: «También mantenemos un documento de seguridad interno con el inventario de datos, los riesgos y las medidas.»; si no, pon true]
• Cooperamos con las verificaciones de la Secretaría Anticorrupción y Buen Gobierno y con las revisiones de seguridad de las plataformas con las que nos integramos, como Meta y Mercado Pago.

18Marco legal y estándares

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025), artículos 18 a 20 (seguridad, vulneraciones y confidencialidad). Autoridad: Secretaría Anticorrupción y Buen Gobierno.
• Ley Federal de Protección al Consumidor, artículo 76 Bis (seguridad y confidencialidad en la venta en línea), para la Tienda Solidaria y los donativos.
• Código Fiscal de la Federación, artículo 30 (conservación de la contabilidad).
• México no tiene hoy una ley de ciberseguridad vigente. Como referencia seguimos ISO/IEC 27001, OWASP ASVS y PCI DSS, y las Recomendaciones en materia de seguridad de datos personales (DOF 30-10-2013).
• El Reglamento de la LFPDPPP de 2011 lo tomamos como referencia en lo que no se oponga a la ley vigente.

19Contacto y estado del servicio

• Seguridad y vulnerabilidades: seguridad@guauwoow.com
• Datos personales: [DEPARTAMENTO DE DATOS PERSONALES], privacidad@guauwoow.com, [TELÉFONO], en el horario [HORARIO DE ATENCIÓN] (LFPDPPP, art. 29).
• Estado del servicio: disponibilidad e interrupciones en Estado del servicio.

Última revisión legal: [FECHA DE ÚLTIMA REVISIÓN LEGAL]

VVersiones

• Versión: 2026-10-17
• Vigente desde: [FECHA DE ENTRADA EN VIGOR]

Primera versión de esta página. Consulta todas las versiones y sus cambios en el historial de versiones.