Política de seguridad

Versión 1.0 · Vigente desde el 24 de agosto de 2026

Esta página describe cómo protegemos su cuenta y su dinero en TqEmprende. Está escrita en concreto — qué hacemos, qué no hacemos y qué le toca a usted — porque una política de seguridad que solo dice «usamos estándares de la industria» no le sirve a nadie para decidir si confiar o no.

Ninguna medida técnica sustituye su cuidado. La mayoría de las cuentas que se pierden no se pierden por una falla del servidor: se pierden porque alguien entregó su código de verificación por teléfono o reusó la contraseña de otro sitio que ya fue filtrado.

1. Su contraseña

Nunca guardamos su contraseña. Lo que queda en la base de datos es un hash calculado con PBKDF2-SHA256 y 100.000 iteraciones, con una sal distinta para cada usuario. Ni el equipo de R&J Technology puede leerla ni recuperarla.
Por eso, si la olvida, no se la enviamos: se restablece con un código de un solo uso. Nadie de TqEmprende le va a decir nunca su contraseña, porque nadie la tiene.
Exigimos un mínimo de 8 caracteres con al menos una mayúscula, un número y un carácter especial.
Tras 5 intentos fallidos la cuenta queda bloqueada 15 minutos. Es para que nadie pueda probar contraseñas una tras otra.

Si cambia su contraseña

Al restablecerla con el código, se cierran todas sus sesiones, en todos sus dispositivos, sin excepción. Si alguien le había robado la cuenta, esa sesión suya queda muerta en el mismo instante. Y le llega un aviso de que la contraseña cambió, para que se entere si no fue usted.

2. El código de verificación (OTP)

Son 6 dígitos y vencen a los 10 minutos.
Se puede usar una sola vez. Al usarlo, muere.
Tras 5 intentos equivocados el código se quema y hay que pedir otro.
No se pueden pedir más de 5 códigos por hora para un mismo número.

Ese código es una llave. No se lo dé a nadie. TqEmprende nunca se lo va a pedir por llamada, por WhatsApp, por mensaje ni por correo. Si alguien se lo pide diciendo que es de soporte, no es de soporte.

3. Sus sesiones

La aplicación no guarda su contraseña en el teléfono. Guarda un token opaco —una cadena que no contiene ningún dato suyo— que vive en el servidor y se puede anular allí.
En Perfil → Privacidad y seguridad puede ver desde qué dispositivos hay sesión abierta, con la fecha y la red (parcialmente enmascarada), y cerrarlas todas de un golpe si ve algo que no reconoce.
Las sesiones vencen solas y hay que volver a entrar.

4. El transporte de los datos

Todo viaja por HTTPS (TLS). En iPhone, la protección de transporte del sistema (ATS) impide conexiones sin cifrar, y la aplicación Android está compilada con cleartextTrafficPermitted="false": aunque alguien manipulara la configuración del teléfono para desviar el tráfico a un servidor sin cifrar, la app se niega a conectarse.
Las únicas excepciones son las direcciones locales del computador de desarrollo, que no existen en el teléfono de un usuario real.

5. Su dinero

Esta es la parte donde una falla no se arregla con una disculpa, así que hay varias defensas superpuestas:

Riesgo	Qué lo evita
Que le roben los datos de su tarjeta desde nuestros servidores.	No los tenemos. Los captura Wompi (Bancolombia S.A.) en su propia pasarela; el número de su tarjeta nunca pasa por TqEmprende.
Que alguien altere el valor de un cobro antes de pagarlo.	La firma de integridad del cobro se calcula en el servidor, nunca en la aplicación. Si el monto se modifica en el camino, la firma no coincide y la pasarela rechaza el pago.
Que alguien nos avise de un pago falso para liberar dinero.	Cada aviso de la pasarela trae un checksum que se valida antes de tocar nada. Si no coincide, se registra y se descarta.
Que un pago se pierda porque el aviso no llegó.	Un proceso de conciliación revisa periódicamente contra la pasarela el estado real de las operaciones pendientes.
Que el saldo de alguien cambie por error o por dentro.	No existe un campo «saldo» que se pueda editar. El dinero se lleva en un libro de partida doble, y una regla en la base de datos rechaza cualquier asiento que no cuadre.
Que se borre el rastro de una operación.	La información financiera y de auditoría no se elimina físicamente nunca. Se marca, no se borra.

6. Sus datos personales dentro de la plataforma

Nunca se muestran en público su número de documento, su correo, su dirección exacta ni sus coordenadas exactas. Su teléfono solo aparece si usted lo autoriza.
La ubicación se publica aproximada, al nivel de municipio o de zona, no en el punto exacto donde usted está.
Las fotos de su documento y su selfie se usan solo para verificar su identidad. Al cerrar su cuenta, el archivo se elimina del servidor, no solo se oculta.
Dentro del equipo rige privilegio mínimo: cada quien ve lo estrictamente necesario para su función, y los accesos quedan auditados.

7. Decisiones automáticas

Ningún sistema automático castiga a nadie por sí solo. Los análisis automáticos enrutan un caso a revisión humana; no lo sentencian. Ninguna cuenta se bloquea de forma definitiva, y sobre todo ningún dinero se retiene o se libera, por una predicción automática sin que una persona lo revise.

8. Si algo sale mal

Si detectamos un incidente de seguridad que afecte sus datos personales, actuamos así:

Contenemos primero: cerramos sesiones, revocamos credenciales y cerramos la vía de entrada.
Determinamos qué datos y qué usuarios quedaron expuestos.
Le avisamos a usted si su información estuvo comprometida, diciéndole qué pasó y qué debe hacer — no un aviso genérico.
Reportamos a la Superintendencia de Industria y Comercio en los términos de la Ley 1581 de 2012 y sus decretos reglamentarios.
Corregimos la causa y dejamos registro de la corrección.

9. Cómo reportar una vulnerabilidad

Si encuentra una falla de seguridad, le agradecemos que nos la cuente antes de publicarla. Escríbanos a soporte.ryj@ryjtechnology.com con el asunto «Seguridad» e incluya, si puede:

Qué encontró y en qué pantalla o dirección.
Los pasos para reproducirlo.
Su nombre o seudónimo, si quiere que lo reconozcamos.

Nos comprometemos a: acusar recibo en un máximo de 5 días hábiles, mantenerlo informado del avance y no emprender acciones legales contra quien investigue de buena fe, sin destruir datos, sin extraer información de otros usuarios y sin degradar el servicio.

Lo que le pedimos que NO haga

Probar con cuentas o datos de otras personas: use una cuenta suya.
Pruebas de denegación de servicio o de fuerza bruta masiva.
Ingeniería social a nuestro equipo o a nuestros usuarios.
Publicar la falla antes de que esté corregida.

10. Lo que le toca a usted

Una contraseña que no use en ningún otro sitio.
No compartir su código de verificación con nadie, jamás.
Revisar sus sesiones abiertas de vez en cuando y cerrar las que no reconozca.
No sacar el trato de la plataforma. Si acuerda pagar en efectivo o por fuera, no hay pago retenido, no hay disputa posible y no hay reembolso — y eso no es una falla, es la consecuencia de que el dinero nunca pasó por aquí.
Desconfiar de quien le pida datos por fuera del chat de la aplicación.

11. Contacto

R&J TECHNOLOGY S.A.S. — NIT 901062738-0
Montería / Cereté, Córdoba, Colombia
soporte.ryj@ryjtechnology.com