Declaración de seguridad

Esta declaración explica cómo protege NotionManager tus datos y tus credenciales, y dónde están nuestros límites. Complementa a la Política de privacidad: esa política responde a «qué recopilamos» y esta declaración responde a «cómo lo protegemos y qué no prometemos». Cada descripción técnica del texto procede de la implementación y del proceso de publicación de la versión actual.

Este documento solo se ocupa de «quién puede acceder». Qué contiene una copia, en qué casos queda incompleta y cómo comprobar que sirve son otra cuestión, y están en la Declaración de integridad de datos que lo acompaña. Cada documento trata un solo tema y no repite al otro.

La seguridad es una propiedad del conjunto

La seguridad no es una función concreta: es una propiedad que aparece cuando todo el sistema se pone en un entorno real. Un buen diseño es el punto de partida, pero el entorno suele decidir el resultado más que el diseño: quién inicia sesión en esta máquina, si el disco está cifrado, en qué medio acaban las copias, quién más hay en la red y a qué páginas se ha compartido la integración en Notion. La mayoría de estas cosas no está bajo nuestro control.

Así que lo que sí podemos hacer es cubrir el lado del software: NotionManager hace todo lo posible por no exponer riesgos de seguridad ni ampliar la superficie de ataque. En concreto: no añadimos canales de los que no podamos responder (sin telemetría, sin actualizaciones automáticas en segundo plano, sin servidores intermediarios), pedimos solo los permisos mínimos que hacen falta (solo lectura en Notion) y dejamos la información sensible en tu propia máquina. Donde no llegamos (el servicio de red local no tiene TLS, la clave del cifrado local se distribuye con el programa, el instalador aún no está firmado) lo decimos con claridad en lugar de pasarlo por alto.

Lee este documento como dos partes: las primeras secciones cuentan lo que hacemos, y la sección 9 cuenta lo que no hacemos y lo que necesitamos de ti. La seguridad sale de «un software lo más pequeño posible» más «un entorno que conoces y controlas»: con una sola de las dos mitades no se sostiene.

Resumen

NotionManager es una aplicación de escritorio que prioriza lo local: las copias, el índice y la navegación se hacen enteros en tu propia máquina. No operamos ningún servidor que reciba, vea o guarde tu contenido de Notion.
Hacia Notion solo hacemos peticiones de lectura, y la integración solo puede acceder a las páginas y las bases de datos que le compartes de forma explícita.
No recopilamos telemetría, estadísticas de uso ni informes de fallos, y no integramos ningún SDK de análisis, publicidad o seguimiento del comportamiento.
La versión actual no tiene un canal de actualizaciones automáticas en segundo plano: las versiones nuevas las descargas e instalas tú a mano desde la web o desde GitHub Releases.
La aplicación solo se conecta a dos destinos externos: la Notion API y el servicio de licencias, que se usa únicamente cuando activas o verificas tu licencia.
La licencia es una compra única. El token va firmado con RSA-PSS, el cliente verifica la firma sin conexión y el token queda vinculado a esta máquina.
Límites conocidos (lee sin falta la sección 9): la clave del cifrado local de credenciales se distribuye con el programa y no sustituye al cifrado del disco; la «navegación remota» es un servicio HTTP dentro de la red local y no tiene TLS; el instalador todavía no tiene firma de código ni notarización.

1. Dónde están tus datos

El motor de copias, el índice de la base de datos y la interfaz de navegación se ejecutan en tu máquina. Cada copia se escribe en el directorio que indiques para ese perfil, y el índice y las instantáneas se guardan en un archivo SQLite local dentro del repositorio.
No operamos ningún intermediario: no hay sistema de cuentas, ni copia en la nube, ni un paso de «primero se sube y luego se descarga». Los archivos de tu máquina son todo lo que hay: nosotros no los vemos.
Qué objetos entran en una copia y hasta dónde llega su integridad está en la Declaración de integridad de datos. El directorio del repositorio está enteramente en tus manos: si borras el directorio, borras la copia.

2. El límite de permisos con Notion

La aplicación usa tu propia integración interna de Notion (también admite un Personal Access Token) para acceder al espacio de trabajo. Tú creas la credencial, tú la guardas y puedes revocarla en Notion cuando quieras.
La aplicación solo envía peticiones de solo lectura a Notion (api.notion.com). En el código no existe ninguna llamada que cree, modifique o borre páginas, bloques o bases de datos. Aunque el token que nos des tenga permisos de escritura, el programa no los usa.
Por defecto, la integración solo ve lo que le compartes de forma explícita. Te recomendamos compartir solo las páginas raíz que quieras copiar y mantener la capacidad de solo lectura en los ajustes de la integración.
Para revocar el acceso: deja de compartir o elimina la integración en Notion. En cuanto lo hagas, el token guardado en esta máquina deja de servir y la aplicación ya no puede leer nada.

3. Cómo se guardan las credenciales

El token de la integración y la contraseña de la «navegación remota» no se guardan en disco en texto plano: van en campos cifrados de la base de datos local de metadatos (AES-256-CBC, con una clave derivada por scrypt a partir de una constante del programa).
Este cifrado sirve para que las credenciales no aparezcan en archivos de configuración, registros ni archivos exportados. No protege frente a quien ya puede leer tu disco, porque la clave se distribuye con el programa. Tu límite real son la cuenta del sistema operativo y el cifrado del disco: activa BitLocker / FileVault / LUKS y pon una contraseña a la cuenta.
El token solo se usa para acceder a la Notion API y a tus propios servicios locales. No se envía a ningún otro tercero y no se escribe en el archivo de perfil exportado.
El archivo de perfil exportado solo contiene metadatos (nombre, ruta del repositorio, programación, política de retención y lista de entradas) y los datos de las copias. No incluye el token, el token de licencia ni la contraseña de la navegación remota. Al importarlo en otra máquina tendrás que volver a introducir el token.

4. Navegación remota (función de pago, desactivada por defecto)

Cuando la activas, la aplicación levanta un servidor HTTP en tu máquina y ofrece las copias como páginas web a otros dispositivos de la misma red (móvil, tableta u otro ordenador). El puerto por defecto es el 8732 y la dirección de escucha por defecto son todas las interfaces de red, de modo que los dispositivos de la red local entran sin configurar nada. Es un valor por defecto que se mantiene a propósito para no complicar la vida a quien no es técnico.
Cada petición exige autenticación HTTP Basic. Las credenciales se comparan con un resumen SHA-256 en tiempo constante, la contraseña se guarda cifrada y la respuesta de error no distingue si falló el usuario o la contraseña.
La interfaz remota es una interfaz de navegación de solo lectura: no devuelve el token ni la ruta del repositorio. Desde fuera solo se ve una lista de perfiles sin los campos sensibles.
Las rutas de los archivos estáticos y de los archivos adjuntos se normalizan y se limitan al directorio del repositorio, así que no se puede escapar con ..
Ese servicio no tiene TLS: la contraseña y el contenido viajan en texto plano dentro de la misma red. Por eso, úsalo solo en redes de confianza (la red local de casa o de la oficina, tu propia VPN) y no lo expongas directamente a internet ni lo pongas en una red que no controles (Wi-Fi público, red de oficina compartida, red de invitados). Si necesitas acceder desde fuera de tu red, colócalo detrás de tu propio proxy inverso con TLS o de una VPN.

5. A qué servicios se conecta la aplicación

La aplicación solo se comunica con dos tipos de servicios externos:

Notion API (api.notion.com): lee los datos de tu espacio de trabajo durante la copia, directamente entre tu máquina y Notion.
Servicio de licencias (lic.notionmanager.com): solo se comunica cuando activas o verificas la licencia, para confirmar la licencia con el proveedor de pagos y recibir el token firmado. Recibe la clave de licencia, el install_id (ver la sección 6) y los datos de pedido y de correo electrónico que el proveedor de pagos ya tiene. No recibe el contenido de tu espacio de trabajo.

Además:

No hay telemetría, ni estadísticas de uso, ni informes automáticos de fallos, ni ningún SDK de análisis, publicidad o seguimiento del comportamiento.
La versión actual no establece un canal de actualizaciones automáticas en segundo plano: las versiones nuevas se publican en la web y en GitHub Releases, y las descargas e instalas tú a mano.
Los registros locales solo sirven para diagnosticar problemas y se guardan en tu máquina. Si decides enviarlos a soporte, comprueba antes que no contengan nada que no quieras compartir.

6. Licencia, firma y vinculación al dispositivo

La licencia es una compra única, no una suscripción. El servicio de licencias firma el token de licencia con RSA-PSS/SHA-256 y el cliente verifica esa firma sin conexión con una clave pública integrada. La petición de activación viaja en un sobre RSA-OAEP + AES-256-GCM.
El install_id se calcula con SHA-256 a partir de la huella de la máquina (el machine-id del sistema o, si falta, hostname|platform|arch|modelo de CPU). Se recalcula en cada inicio y no se guarda en disco. Su único uso es identificar el dispositivo para verificar la licencia y contar las activaciones; no contiene ni se asocia a tus datos personales. Por eso el token queda vinculado a esta máquina: copiarlo a otra no sirve, y enviarnos el install_id de otra persona junto con su clave tampoco.
Una vez activada, no hay más conexiones periódicas: las funciones compradas siguen funcionando sin conexión durante mucho tiempo.

7. Distribución y verificación del instalador

Los instaladores se publican en GitHub Releases. Cada versión incluye su valor SHA-256 y la página de descarga indica el comando para comprobarlo. Verifícalo antes de instalar.
Si el valor no coincide, el archivo se ha alterado o está dañado: descártalo y vuelve a descargarlo de un canal oficial.
El instalador actual no tiene firma de código ni notarización (la compilación para macOS no activa el hardened runtime y Windows no tiene un certificado de firma configurado), así que el sistema puede avisarte de que viene «de un desarrollador desconocido». Es el estado actual y conocido; ver la sección 9.

8. Web y pagos

La web es un sitio estático pregenerado alojado en Vercel. Las fuentes se sirven desde el propio sitio y las páginas no cargan scripts de análisis, publicidad ni seguimiento de terceros. Tus preferencias de idioma y de tema se guardan en el localStorage de tu propio navegador.
El pago lo gestiona el proveedor de pagos (Paddle como comerciante registrado, y además el canal de Dodo Payments): el número de tarjeta y los datos de pago solo se envían al proveedor de pagos, y nosotros ni los tocamos ni los guardamos. La web no recopila tu token de Notion ni lo necesita.
Solo guardamos lo que nos envías por tu propia iniciativa (correos a soporte, comentarios, solicitudes de reembolso), y lo usamos para responderte o para publicarlo.

9. Límites conocidos y lo que no prometemos

El cifrado local no es protección local: ver la sección 3. Acompáñalo con el cifrado del disco y una contraseña de cuenta.
La navegación remota no tiene TLS: ver la sección 4. Está pensada como una función cómoda para usar dentro de la red local o una VPN, no para exponerse a internet.
El instalador no está firmado ni notarizado: no podemos demostrarte el origen del binario mediante la cadena de firma del sistema. Guíate por el valor SHA-256 publicado en GitHub Releases.
Que una copia sea completa o no queda fuera de este documento: qué contiene una copia, qué contenido no aparecerá (el alcance de permisos de la Notion API y sus huecos conocidos) y la práctica de conservar copias según 3-2-1 están en la Declaración de integridad de datos. Este documento solo se ocupa de «quién puede acceder» y no repite esa parte.
No ofrecemos un programa de recompensas por vulnerabilidades ni un SLA: es un producto de software de compra única, y la respuesta de seguridad sigue lo prometido en la sección 10.

10. Cómo informar de un problema de seguridad

Envía los problemas de seguridad a security@notionmanager.com. Para consultas generales, sugerencias de funciones y reembolsos, escribe a support@notionmanager.com.
Incluye en el informe todo lo que puedas: versión del software, sistema operativo, pasos para reproducirlo, alcance del impacto y tu valoración. Si hace falta, reprodúcelo en un espacio de trabajo de prueba y no adjuntes datos reales de tu espacio de trabajo.
No divulgues problemas sin corregir en canales públicos (issues, foros, redes sociales).
Nuestro compromiso: confirmar la recepción en 3 días hábiles. Después de confirmarlo, te contamos el plan de corrección y los plazos. Cuando la corrección se publique, te damos las gracias en las notas de la versión (si aceptas que te nombremos).