Cómo protegemos tu cuenta y tus datos

1. Verificación en dos pasos (2FA/MFA)

La verificación en dos pasos agrega una segunda llave a tu cuenta: además de la contraseña, un código de un solo uso que solo existe en tu dispositivo. Soportamos aplicaciones autenticadoras (Google Authenticator, Authy y compatibles) y mensajes de texto al teléfono registrado. La activación es voluntaria al registrarse, pero se vuelve obligatoria al habilitar retiros hacia destinos nuevos y para cuentas de los planes Avanzado y Premium.

Si pierdes el acceso a tu dispositivo, la recuperación sigue una ruta verificada: presentas tu documento de identidad, superas una videollamada de contraste y el equipo de soporte emite nuevas credenciales. Nunca enviamos códigos por correo ni pedimos tu código vigente: quien lo haga se está haciendo pasar por nosotros.

2. Cifrado de datos

Los datos viajan cifrados entre tu navegador y nuestros servidores mediante TLS, y la información sensible en reposo (documentos de identidad, datos bancarios, registros de operaciones) se cifra a nivel de almacenamiento con claves gestionadas por sistemas dedicados. El acceso interno a esos almacenes está restringido por rol: un analista de soporte ve lo necesario para atender tu caso, no toda la base.

Cada sistema que participa en el ciclo de vida de tus datos tiene un responsable designado y una política de retención: los documentos de verificación se conservan el tiempo que exige la normativa aplicable de prevención del blanqueo de capitales y después se eliminan de forma segura.

3. Protección contra fraude y phishing

Las comunicaciones oficiales salen únicamente del dominio de la plataforma y de la dirección [email protected]. Cada correo transaccional incluye un código de verificación vinculado a tu cuenta: si un mensaje que dice venir de nosotros no muestra ese código, no viene de nosotros. Los dominios que imitan a la marca se monitorean y denuncian de forma continua, y la página de advertencia sobre fraude publica los casos detectados.

Regla práctica: ingresa siempre escribiendo la dirección del sitio, no desde enlaces de correos o mensajes. Ningún empleado legítimo te pedirá contraseñas, códigos 2FA ni pagos a cuentas de terceros.

4. Notificaciones de inicio de sesión

Cada inicio de sesión desde un dispositivo o navegador nuevo dispara un aviso a tu correo registrado con hora, tipo de dispositivo y ubicación aproximada. La actividad marcada como inusual, por ejemplo un acceso simultáneo desde dos continentes o intentos repetidos de contraseña incorrecta, genera una alerta adicional y puede exigir la verificación en dos pasos antes de continuar.

Si recibes un aviso de un acceso que no reconoces, cambia tu contraseña de inmediato, revisa la sección de sesiones activas y escríbenos. La respuesta rápida del usuario es la contramedida más eficaz contra la toma de cuentas.

5. Gestión de dispositivos y sesiones

Desde el panel ves la lista de sesiones activas: dispositivo, navegador, fecha del último uso y opción de cerrar cualquiera de ellas al instante. Las sesiones expiran automáticamente tras un periodo de inactividad, y las credenciales guardadas en dispositivos se revocan cuando cambias la contraseña o activas un dispositivo de confianza nuevo.

Al vender o prestar un equipo, cierra sesión y limpia las contraseñas guardadas del navegador. Un dispositivo olvidado con la sesión abierta es la puerta más simple para un intruso.

6. Recuperación de cuenta

La recuperación existe, pero es deliberadamente exigente. Empieza con la verificación de tu identidad con el documento usado en el registro, continúa con una pregunta de seguridad contrastada por un especialista y termina con la emisión de credenciales nuevas que invalidan las anteriores. El proceso puede tomar hasta un día hábil porque cada paso se documenta para protegerte a ti, no a quien intente suplantarte.

Los retiros quedan temporalmente suspendidos durante una recuperación en curso. Es una pausa de seguridad: preferimos demorar una solicitud legítima antes que financiar a un atacante.

7. Permisos de las llaves de acceso (API)

Cuando una integración o servicio conecta con tu cuenta, lo hace mediante una llave de acceso con permisos explícitos: solo lectura (consultar saldos e historial), trading (operar sin mover fondos a destinos nuevos) o retiros. El permiso de retiros está desactivado por defecto y requiere confirmación reforzada cuando se solicita. Puedes auditar y revocar llaves desde el panel en cualquier momento.

Si alguna vez usaste una llave en un servicio de terceros que dejó de ser necesario, revócala. Las llaves viejas son llaves puestas bajo el felpudo.

8. Historial de auditoría

Tu cuenta mantiene un registro inmutable de lo que importa: inicios de sesión con dispositivo y hora, conexiones y desconexiones de integraciones, cambios de estrategia, ajustes de parámetros y solicitudes de retiro. El historial está disponible para ti desde el panel y para el equipo interno con fines de investigación, lo que permite reconstruir cualquier incidente paso a paso.

Revisarlo una vez al mes toma cinco minutos y es el hábito de seguridad con mejor relación costo-beneficio que existe: detecta configuraciones olvidadas y movimientos que no reconoces antes de que crezcan.

9. Soporte durante incidentes

Si sospechas un problema de seguridad, el canal es [email protected], con la palabra INCIDENTE en el asunto para priorizar la revisión. El primer paso sugerido, y a veces automático desde soporte, es la suspensión temporal de la cuenta: se congelan accesos y retiros mientras se investiga. Luego recibirás comunicación ordenada del equipo: qué se detectó, qué se hizo, qué te toca a ti.

Los incidentes confirmados se documentan y, cuando corresponden a fallas nuestras, se comunican a los usuarios afectados con las medidas correctivas adoptadas. Cada incidente documentado alimenta una revisión interna de procedimientos: la lista de medidas de esta página crece con cada caso real que atraviesa el equipo. La página de quejas describe la ruta formal si consideras que la respuesta no fue adecuada.