Confianza y Seguridad

• Acceso con email y contraseña; sesiones gestionadas por el proveedor de auth.
• Roles diferenciados (admin, project_manager, site_engineer, procurement, accountant, client_viewer, contractor) almacenados en una tabla aparte.
• Cada acción se evalúa contra políticas de seguridad a nivel de fila.
• Solo administradores pueden crear, modificar o eliminar usuarios.

• Cada compañía tiene su propio espacio de datos: proyectos, contratos, presupuestos, valuaciones y documentos están aislados por company_id.
• Las políticas de base de datos verifican la membresía antes de permitir lectura o escritura.
• El almacenamiento de documentos se valida contra la compañía propietaria del archivo en cada descarga o subida.

• Las acciones sensibles quedan registradas en una bitácora de actividad (activity_log).
• Los registros solo pueden ser insertados por el usuario que ejecuta la acción; no es posible suplantar el origen.
• La lectura está restringida a roles administrativos.

• Recolectamos nombre, correo y rol de cada usuario para el funcionamiento de la plataforma.
• Los administradores solo ven perfiles de usuarios que comparten al menos una compañía con ellos.
• Para solicitar la eliminación de una cuenta, contacta al administrador de tu empresa o al equipo de soporte.

• Datos y archivos se alojan en infraestructura administrada por nuestro proveedor de backend (Lovable Cloud / Supabase).
• Los buckets de documentos son privados; el acceso se otorga solo a miembros de la empresa propietaria.
• El cifrado en tránsito (HTTPS) y en reposo lo proporciona el proveedor.

Si encuentras un problema de seguridad, escríbenos al canal de soporte de tu compañía o al contacto que se te haya proporcionado. Confirmaremos la recepción y trabajaremos en una solución.