1. Disponibilidad

• No ofrecemos un acuerdo de nivel de servicio (SLA) con un porcentaje de disponibilidad garantizado, ni compensaciones por interrupciones. Tampoco comprometemos por contrato un tiempo de respuesta ante incidencias.
• La aplicación web y la API se ejecutan en tres instancias que se reparten el tráfico.
• Un proceso automático comprueba cada 5 minutos varios servicios de los que depende la plataforma y, si detecta una caída, abre un incidente en nuestra página pública de estado.
• Los errores de las apps y del servidor se registran de forma centralizada para revisarlos y corregirlos.

Ver la página de estado

2. Respaldos de la base de datos

• Copia continua: los cambios de la base de datos se archivan de forma continua —en funcionamiento normal, con un minuto de retraso como máximo— en un almacenamiento externo, fuera del servidor principal, cifrado con AES-256. Cada semana se hace una copia completa y cada día una diferencial.
• Con esa copia se puede devolver la base de datos al estado que tenía en un minuto concreto, dentro de al menos los últimos 7 días.
• Copia diaria independiente: cada noche, un servidor en otra nube extrae una copia de la base de datos y la guarda en un almacenamiento de otro proveedor configurado para que no se pueda modificar ni borrar durante 30 días.
• La restauración está probada: en octubre de 2026 restauramos la base de datos completa en un servidor nuevo a partir de estas copias, con los mismos datos que producción, y en otro ensayo la devolvimos a un minuto concreto.
• No comprometemos un plazo de restauración.

3. Seguridad

• Las contraseñas se guardan con bcrypt, un algoritmo que no permite recuperarlas: nadie, tampoco nosotros, puede leer la contraseña de un usuario.
• El tráfico entre las apps, el panel y nuestros servidores viaja cifrado por HTTPS.
• No guardamos números de tarjeta ni códigos de seguridad: el cobro lo hace el procesador de pagos, y sus avisos de pago se validan por firma antes de cambiar ningún saldo o estado.
• Cada empresa opera aislada por su identificador: una empresa no ve los conductores, viajes, clientes ni finanzas de otra.
• Las llaves de notificaciones de Apple que nos confían los clientes se guardan cifradas con AES-256-GCM.
• Nuestras herramientas internas de diagnóstico consultan la base de datos con un acceso de solo lectura.

4. Sus datos: cómo llevárselos

• Desde el panel puede descargar sus conductores, pasajeros y comercios en Excel; sus viajes en CSV, con los filtros que tenga aplicados; sus reportes en Excel, y los movimientos de las billeteras en CSV.
• La API pública (/api/v1/reports/export) entrega en CSV los viajes o pedidos de un rango de fechas, con una autorización OAuth de su cuenta.
• Qué pasa con su app y su código si CabGo deja de prestar el servicio está en los Términos de Servicio (§5 y §9).

Ver los Términos de Servicio

5. Lo que no cubrimos hoy

• No hay SLA con porcentaje de disponibilidad ni compensación por caídas.
• La base de datos funciona en una sola instancia, sin una réplica en espera en otro servidor. Si el servidor principal falla por completo, el servicio se interrumpe hasta restaurarlo a partir de los respaldos.
• No tenemos certificaciones propias (SOC 2, ISO 27001 ni PCI-DSS). Los datos de tarjeta los maneja el procesador de pagos, no nosotros.
• El panel no tiene segundo factor de autenticación (MFA): se entra con contraseña o con una cuenta de Google.
• No hemos hecho una prueba de penetración externa formal.
• Ningún proveedor puede garantizar que un sistema sea invulnerable, y nosotros no lo prometemos.