Seguridad en JoyPDF

El modelo de seguridad de JoyPDF es fundamentalmente distinto al de las herramientas PDF tradicionales basadas en la nube. En lugar de subir tus archivos a un servidor remoto para procesarlos, todas las operaciones se ejecutan localmente en tu navegador con WebAssembly (WASM) y JavaScript.

Esto significa que tus documentos sensibles — contratos, informes financieros, historiales médicos, expedientes legales — nunca atraviesan internet. Permanecen en tu dispositivo de principio a fin. No hay almacenamiento en el servidor, ni caché temporal en la nube, ni posibilidad de que filtraciones de datos en el servidor afecten a tus archivos.

Esta arquitectura elimina categorías enteras de riesgos de seguridad:

• Sin riesgo de datos en tránsito para tus archivos: nunca salen del sandbox del navegador

• Sin almacenamiento en el servidor implica cero riesgo de filtraciones de datos en la nube

• Sin acceso de terceros al contenido de tus documentos

• Sin datos residuales — al cerrar la pestaña, los datos de procesamiento se liberan de la memoria

Todo el tráfico hacia y desde joypdf.app está cifrado con TLS 1.3 y suites de cifrado robustas. Aplicamos HTTPS en todos los endpoints e implementamos HTTP Strict Transport Security (HSTS) para prevenir ataques de degradación.

Nuestros registros DNS están protegidos con DNSSEC y utilizamos Content Security Policies (CSP) para mitigar ataques de cross-site scripting (XSS) e inyección de código.

Las cabeceras de seguridad que implementamos incluyen:

• `Strict-Transport-Security` — exige HTTPS

• `X-Content-Type-Options: nosniff` — evita la detección de tipo MIME

• `X-Frame-Options: DENY` — previene clickjacking

• `Referrer-Policy: strict-origin-when-cross-origin` — limita la filtración del referrer

• `Content-Security-Policy` — restringe la carga de recursos

Cuando eliges explícitamente usar funciones con IA (AI Summary, AI Translate, AI Agent), solo el contenido de texto extraído se envía a nuestro socio de procesamiento de IA a través de nuestra API segura — nunca el archivo PDF original, imágenes ni metadatos.

El flujo de datos para funciones de IA es:

1. El texto se extrae del PDF localmente en tu navegador

2. El texto extraído se envía por HTTPS cifrado a nuestro endpoint de API

3. Nuestra API reenvía la solicitud al proveedor del modelo de IA

4. La respuesta de la IA se transmite de vuelta y se renderiza en tu navegador

5. Ningún texto ni respuesta se almacena en nuestros servidores tras completarse la solicitud

Prohibimos explícitamente a nuestros proveedores de IA usar tus datos para entrenar modelos. Esto se exige contractualmente.

La autenticación de usuarios la gestiona Clerk, una plataforma de identidad de nivel empresarial. Clerk proporciona:

• Hash seguro de contraseñas con bcrypt

• Soporte de autenticación multifactor (MFA)

• Inicio de sesión social OAuth 2.0 / OpenID Connect

• Gestión de sesiones con cookies seguras HttpOnly

• Protección contra fuerza bruta y bots

• Infraestructura certificada SOC 2 Type II

JoyPDF está diseñado para cumplir con:

• GDPR — Reglamento General de Protección de Datos de la UE

• CCPA — Ley de Privacidad del Consumidor de California

• Directiva ePrivacy — privacidad de comunicaciones electrónicas de la UE

• LGPD — Ley General de Protección de Datos de Brasil

• PIPEDA — Ley de Protección de Información Personal y Documentos Electrónicos de Canadá

Nuestra arquitectura sin subidas simplifica inherentemente el cumplimiento porque los datos de documentos nunca llegan a nuestra infraestructura.

Nos tomamos en serio las vulnerabilidades de seguridad. Si descubres un problema de seguridad, repórtalo de forma responsable a security@joypdf.app. Nos comprometemos a:

• Acusar recibo de tu informe en un plazo de 48 horas

• Proporcionar actualizaciones periódicas sobre el progreso de la remediación

• No emprender acciones legales contra investigadores de seguridad de buena fe

• Reconocer a los investigadores (con su permiso) por las vulnerabilidades descubiertas