Seguridad de la plataforma

1. Verificación en dos pasos (2FA/MFA)

Cada cuenta puede activar verificación en dos pasos con una app de autenticación como Google Authenticator o Authy, que genera códigos de un solo uso de 30 segundos. Recomendamos activarla desde el primer día: con 2FA encendido, una contraseña filtrada ya no basta para entrar a tu cuenta.

El uso de 2FA no es obligatorio para navegar la plataforma, pero sí se exige para operaciones sensibles, como cambiar datos de retiro o deshabilitar alertas. Si pierdes tu dispositivo, la recuperación se hace con el departamento de soporte verificando tu identidad con documento oficial; el proceso está diseñado para que nadie más que tú pueda completarlo.

2. Cifrado de datos

Los datos viajan cifrados en tránsito mediante TLS en todas las conexiones entre tu navegador, la plataforma y los servicios que la soportan. En reposo, la información sensible se guarda cifrada en los sistemas de la plataforma, con acceso restringido por rol.

El alcance del cifrado cubre credenciales de acceso, datos de identificación e información de contacto. Los sistemas responsables son la plataforma central, el módulo de pagos y el repositorio de documentos de verificación, cada uno con bitácoras de acceso revisadas por el área de seguridad.

3. Protección contra fraude y phishing

Nuestro dominio oficial es graviton-delta.com: cualquier otro dominio que use nuestro nombre no es nuestro. Nunca pedimos contraseñas por correo ni por teléfono, y ningún miembro del equipo te contactará para pedirte códigos de verificación.

Los mensajes oficiales incluyen una frase de seguridad personal que tú eliges al activar tu cuenta. Si un mensaje dice venir de Graviton Delta pero no incluye tu frase o viene de otro dominio, no respondas y repórtalo a [email protected]. La página de advertencia sobre fraudes explica cómo detectar sitios que suplantan nuestra marca.

4. Notificaciones de inicio de sesión

Cada inicio de sesión desde un dispositivo nuevo genera un aviso a tu correo registrado, con hora, tipo de dispositivo y ubicación aproximada. También se notifica la actividad que consideramos inusual, como intentos de acceso fallidos repetidos o cambios de país en pocas horas.

Si recibes un aviso de un acceso que no reconoces, entra a tu cuenta, revisa la sección de sesiones y cierra todo lo que no sea tuyo. Después cambia tu contraseña y activa 2FA si aún no lo has hecho. El soporte puede congelar la cuenta mientras verificas, sin costo y sin trámites largos.

Los avisos no son spam ni alarmismo: cada uno corresponde a un evento real en tu cuenta. Recibirlos es señal de que el sistema está mirando; ignorarlos es la única forma de desaprovecharlos.

5. Gestión de dispositivos y sesiones

Desde tu perfil ves la lista de sesiones activas: navegador, dispositivo, hora del último acceso. Puedes cerrar cualquier sesión de forma remota, por ejemplo si olvidaste salir en una computadora compartida.

Las sesiones expiran automáticamente tras un periodo de inactividad y al cambiar la contraseña se cierran todas las demás. Los permisos de retiro de fondos están separados del acceso general: iniciar sesión no basta para mover dinero, siempre se verifica identidad y destino.

6. Recuperación de cuenta

Si pierdes el acceso, la recuperación se hace verificando tu identidad con el equipo de soporte: documento oficial, selfie de comparación y confirmación de datos de la cuenta. Puede parecer más lento que un clic, y es exactamente esa pausa la que protege tu cuenta de alguien que se haga pasar por ti.

Durante la recuperación se bloquean retiros y cambios de datos hasta completar la verificación. Cuando el proceso termina, recibes un correo de confirmación y tu gerente personal te llama para repasar qué pasó y blindar la cuenta.

Cada recuperación queda documentada con hora, canal y verificaciones realizadas. Si alguien intenta suplantarte, ese expediente deja rastro y nos permite reforzar tu cuenta con controles adicionales.

7. Permisos de claves de API

Cuando la plataforma se conecta a una bolsa para ejecutar estrategias, se usan claves con permisos mínimos: lectura de mercado y ejecución de órdenes. Las claves con permiso de retiro de fondos no se solicitan y no se necesitan para operar.

Puedes revocar o rotar claves desde tu cuenta en cualquier momento, y cada cambio queda asentado en tu historial. Si en algún momento quieres operar con tus propias claves en otra herramienta, el soporte te explica cómo limitar sus permisos antes de entregarlas.

8. Historial de auditoría

La plataforma registra inicios de sesión, conexiones, cambios de estrategias y modificaciones de configuración con fecha, hora y origen. Ese historial está disponible para ti en la sección de actividad de tu cuenta y para el equipo interno en bitácoras protegidas.

Este registro sirve para dos cosas: que puedas reconstruir cualquier movimiento que no reconozcas, y que el equipo de seguridad detecte patrones anómalos antes de que se conviertan en incidentes. Las bitácoras se conservan conforme a los plazos descritos en la Política de Privacidad.

Si en tu historial aparece algo que no hiciste, marca el registro y escríbenos: la investigación parte exactamente de esa anotación, con su hora y su origen, y no de reconstrucciones de memoria.

9. Soporte ante incidentes

Si detectas algo raro, escribe de inmediato a [email protected] con el asunto "Incidente". El primer paso es bloquear la cuenta para evitar daños mientras se investiga; después, el equipo te contacta con un orden claro de comunicación: qué se sabe, qué se está haciendo y cuándo tendrás la siguiente actualización.

Los incidentes se escalan al área de seguridad en menos de una hora hábil y se documenta cada caso para mejorar controles. Si el incidente afecta a varios usuarios, publicamos un aviso general con las medidas tomadas y las recomendaciones pertinentes.