Seguridad de la Información y Divulgación Responsable de Vulnerabilidades
Versión 1.3 · Vigencia desde 04/11/2026
1. Cómo cuidamos tus datos
En la conexión. Todo lo que sale de la app o del sitio viaja por una conexión cifrada.
En el almacenamiento. Tu contraseña no se guarda de forma legible: solo conservamos una versión irreversible. El teléfono, la fecha de nacimiento y los códigos de pago están cifrados en la base de datos. Otros datos que registras, como listas, artículos de la despensa y movimientos, no tienen cifrado propio en la base de datos y están protegidos por control de acceso. Las copias de seguridad están cifradas.
En el acceso. Cada persona solo ve lo que es suyo o lo que se compartió con ella, y pruebas automáticas lo comprueban. En el equipo, el acceso está restringido por función y a lo necesario.
Al entrar. Puedes activar la verificación en dos pasos con una app autenticadora: con ella, la contraseña sola no basta para entrar en tu cuenta. Actívala en Ajustes, Seguridad de la cuenta. Al crear o cambiar la contraseña, rechazamos las muy comunes y las que ya aparecieron en filtraciones conocidas.
En tu dispositivo. En la app, la sesión se guarda en la bóveda segura del dispositivo, y Finanzas tiene PIN y biometría. En el navegador, la sesión se guarda en el propio navegador y dura menos tiempo: no uses computadoras públicas o de terceros.
Lo que no tenemos. No pedimos la contraseña de tu banco. La suscripción se paga por la App Store o Google Play, y no vemos el número de tu tarjeta.
Lo que tú controlas. Consulta tus dispositivos y accesos recientes, exporta tus datos y elimina tu cuenta en la app. Más detalles en la Política de Privacidad, punto 10.
2. Lo que ya se ha verificado
Realizamos pruebas automáticas de seguridad y revisiones internas. Todavía no hemos pasado por una auditoría independiente. Está prevista, y publicaremos aquí el resumen, con la empresa, la fecha y el alcance. Ningún sistema es 100 % seguro.
Lo que ya hemos verificado, siempre con la fecha:
- Mozilla Observatory, verificación automática y pública: nota A+ en rufi.app, api.rufi.app y web.rufi.app (05/11/2026). Repítela tú mismo. Evalúa la configuración del sitio y no sustituye una prueba de intrusión.
- Autoevaluación basada en OWASP ASVS 5.0, nivel 1, hecha por nuestro equipo: 55 de los 67 requisitos aplicables cumplidos por completo, y seguimos trabajando en los demás (noviembre de 2026). Es una autoevaluación, no una certificación: OWASP no certifica empresas ni productos.
3. Cuidado con las estafas
Rufi nunca pide tu contraseña, código de verificación o PIN, por ningún canal. Si alguien lo pide en nuestro nombre, es una estafa.
Nuestras direcciones oficiales terminan en rufi.app. El soporte atiende por la app y en suporte@rufi.app. No descargues Rufi fuera de la App Store y Google Play, y no instales nada a pedido de quien diga ser de Rufi.
¿Recibiste algo sospechoso? No hagas clic y avísanos en seguranca@rufi.app.
4. ¿Encontraste una falla?
Envíala a seguranca@rufi.app con: descripción, pasos para reproducirla, impacto y (si es posible) prueba de concepto. Responderemos en un máximo de 5 días hábiles y te mantendremos informado.
Reglas de buena fe (puerto seguro)
No tomaremos medidas judiciales contra quien, de buena fe: (a) pruebe solo su propia cuenta; (b) no acceda, modifique ni borre datos de terceros; (c) no degrade el servicio (sin DoS, spam ni brute force masivo); (d) no use ingeniería social contra el equipo; (e) no divulgue la falla antes de su corrección y de que acordemos el plazo (sugerido: hasta 90 días); (f) cumpla la ley.
Fuera de alcance
Informes automáticos sin prueba de explotación, falta de encabezados sin impacto, ataques a proveedores terceros (Apple, Google, Amazon, etc.), pruebas físicas e ingeniería social.
5. Recompensas
No hay un programa formal de recompensas. Puede otorgarse reconocimiento público a quien lo autorice.
6. Incidentes
En caso de un incidente de seguridad con riesgo o daño relevante para los titulares, te avisaremos a ti y a la ANPD en los plazos de la Res. CD/ANPD 15/2024 (3 días hábiles), informando la naturaleza de los datos, los riesgos y las medidas adoptadas.
7. Qué puedes hacer
Contraseña fuerte y única · verificación en dos pasos · PIN/biometría · mantener el dispositivo actualizado · cuidado con enlaces/adjuntos · desconfiar de pedidos de códigos o contraseñas (Rufi nunca pide tu contraseña) · revisar lo compartido y los dispositivos vinculados (Alexa).