Cifrado, acceso por rol, doble factor y registro de auditoría. Todo escrito en un DPA que tu área legal puede revisar antes de firmar.
TLS en todo el tráfico y cifrado en reposo en base de datos y archivos.
El tráfico entre la app y el servidor viaja con TLS. Los datos almacenados, incluidos documentos y archivos de los empleados, se cifran con el cifrado en reposo que ofrecen los servicios de base de datos y almacenamiento donde operamos. No afirmamos cifrado a nivel de aplicación porque no es lo que hacemos.
Cada consulta se filtra por organización. Nadie ve datos de otra empresa.
El acceso se define por rol dentro de cada organización, y toda consulta se filtra por el identificador de esa organización: el aislamiento entre empresas es una condición de la consulta y no una convención. Los permisos sobre nómina, documentos y liquidaciones se conceden de forma explícita.
2FA con app autenticadora y códigos de respaldo, más WebAuthn en el fichaje.
Cada administrador puede activar verificación en dos pasos (TOTP) desde su perfil, con códigos de recuperación de respaldo. En el portal de empleados, el fichaje admite credenciales biométricas WebAuthn, huella o reconocimiento facial, en los dispositivos compatibles y combinadas con el geofence de la sede.
Qué cambió, quién lo cambió y cuándo. Exportable a CSV.
El registro principal cubre cambios en horarios, equipo, sedes, puestos y departamentos, además de los fichajes del portal de empleados. La liquidación tiene su propio registro: cierres y aperturas de período, recibos procesados, cambios de sueldo y aprobaciones de anticipos y licencias. Todo se exporta a CSV desde el panel.
Backups verificados y exportación self-service en CSV, Excel o PDF.
Los respaldos se ejecutan de forma periódica y verificada. Desde el panel podés exportar la información de tu organización sin abrir un ticket de soporte. Si la pérdida del acceso fuera de nuestro lado, el DPA establece devolver o borrar los datos en un plazo máximo de 90 días.
Ley 25.326 (Argentina) y GDPR, con DPA publicado antes de la firma.
Procesamos datos personales bajo la Ley 25.326 de Protección de Datos Personales de Argentina y el GDPR para titulares de la Unión Europea. El Acuerdo de Tratamiento de Datos está publicado, con subencargados, transferencias internacionales y plazos de retención, para que tu área legal pueda revisarlo antes de firmar.
Lo que un área de compliance o de riesgo te va a preguntar en la primera reunión. Preferimos responderlo por escrito acá y no en una llamada de cuarenta minutos.
Hosting y CDN en AWS y Vercel, base de datos PostgreSQL en Neon y archivos en Vercel Blob y S3. Almacenamiento regional en EE. UU. y la Unión Europea.
Cláusulas contractuales tipo de la Comisión Europea (SCCs 2021/914) más los anexos de transferencia de la AAIP (Res. 47/2018 y 14/2024), con medidas suplementarias de cifrado y minimización.
El análisis de currículums, la generación de horarios y el OCR de documentos se ejecutan en nuestros servidores mediante APIs de Mistral AI (Unión Europea) y Google Gemini (EE. UU.). Ambos son subencargados declarados en el DPA y las claves nunca llegan al navegador.
HSTS, CSP en modo report-only, X-Content-Type-Options, X-Frame-Options y Permissions-Policy, que restringe cámara, geolocalización, micrófono, pago y USB. Límite de peticiones activo sobre los endpoints de autenticación.
Publicamos la lista completa con finalidad y ubicación de cada proveedor: hosting, base de datos, almacenamiento, email, pagos y analítica. Podés objetar un subencargado nuevo antes de que se incorpore.
Estado e historial de incidentes de cada componente, con barras de disponibilidad públicas y sin registro. Los planes empresarialess pueden incluir SLA por contrato.
Cada afirmación de esta página tiene un documento detrás. Los cuatro están publicados y se pueden leer antes de la firma, sin NDA y sin pedido especial.
Escribinos. Confirmamos la recepción, seguimos la corrección y te avisamos cuando esté resuelta. No tomamos acciones legales contra quien investiga de buena fe ni exigimos NDA para reportar.
security@houra.appIncluí aunque creas que no es grave: descripción, pasos para reproducir y alcance. También podés consultar el security.txt para el alcance y los plazos de respuesta. Si el problema afecta datos personales, el DPA fija nuestro compromiso de notificación.
En infraestructura cloud: hosting y CDN en AWS y Vercel, base de datos PostgreSQL en Neon y almacenamiento de archivos en Vercel Blob y S3, con almacenamiento regional en EE. UU. y la Unión Europea. Las transferencias fuera de Argentina están cubiertas por cláusulas contractuales tipo de la Comisión Europea (SCCs 2021/914) y por los anexos de transferencia de la AAIP.
Solo usuarios con un rol asignado dentro de tu organización. Cada consulta se filtra por organización, así que nadie ve datos de otra empresa, y el acceso a nómina, documentos y liquidaciones se concede de forma explícita. Las acciones sensibles quedan registradas y podés exportarlas a CSV desde el panel.
TLS en todo el tráfico entre la app y el servidor, y cifrado en reposo en los servicios de base de datos y almacenamiento que lo ofrecen. Además forzamos cabeceras de seguridad: HSTS, política de seguridad de contenido (CSP) en modo report-only, X-Content-Type-Options, X-Frame-Options y Permissions-Policy, que restringe cámara, geolocalización, micrófono y pago.
Sí. Cada administrador puede activar 2FA (TOTP) desde su perfil, con una app autenticadora y códigos de recuperación de respaldo. El fichaje del portal de empleados admite además credenciales biométricas WebAuthn (huella o reconocimiento facial) en los dispositivos compatibles.
El registro principal cubre los cambios en horarios, equipo, sedes, puestos y departamentos, además de los fichajes del portal de empleados. La liquidación tiene su propio registro: cierres y aperturas de período, recibos procesados, cambios de sueldo y aprobaciones de anticipos y licencias.
30 días. Es un plazo corto y lo decimos explícitamente: es el límite real del producto. Pasado el plazo, un proceso automático borra los registros y podés descargar el rango completo en CSV desde el panel antes de que se purgue.
Sí, y lo declaramos. El análisis de currículums, la generación de horarios y el OCR de documentos se ejecutan en nuestros servidores mediante APIs de Mistral AI (Unión Europea) y Google Gemini (EE. UU.), que tratan esos datos como subencargados. Las claves viven en el servidor y nunca llegan al navegador. Ambos proveedores figuran en la lista de subencargados de nuestro DPA.
Sí. Procesamos datos personales conforme a la Ley 25.326 de Protección de Datos Personales de Argentina y al GDPR para titulares de la Unión Europea. El DPA está publicado y disponible para clientes y prospectos antes de la firma, con subencargados, transferencias internacionales y plazos de retención.
Hacemos respaldos periódicos y verificados. Desde el panel podés exportar la información de tu organización en CSV, Excel o PDF sin abrir un ticket. Si la pérdida es del lado de Houra, el DPA establece devolver o borrar los datos en un plazo máximo de 90 días y, a pedido, podemos certificar el borrado.
Publicamos el estado y el historial de incidentes de cada componente en status.houra.app, con barras de disponibilidad y el detalle de cada incidente. Los planes empresarialess pueden incluir un acuerdo de nivel de servicio con tiempos de respuesta acordados por contrato.
Escribí a security@houra.app describiendo el problema. Confirmamos la recepción, seguimos la corrección y te avisamos cuando esté resuelto. También publicamos los datos de contacto y la política en /.well-known/security.txt, para que los investigadores lo encuentren automáticamente.
Última revisión de esta página: 3 de octubre de 2026. Si encontrás algo que contradiga lo que dice acá, contanos.