Seguridad y confianza
Tu operación, en un lugar que puedes auditar.
Aquí está lo que Merez hace para proteger tu información, con el detalle para comprobarlo. Y también lo que no hace: no publicamos un SLA del 99,99% ni decimos que somos una empresa certificada. Preferimos que sepas exactamente qué hay.
- aislamiento
- Por sitio
- acceso
- Revocable
- copias rotativas
- 10
- datos personales
- Ley 1581
Un negocio no ve los datos de otro.
Los tokens del sitio se emiten y se revocan.
Se guardan las últimas diez, una por despliegue.
Habeas Data, con roles escritos.
Aislamiento
Cada negocio, en su propio espacio.
Merez es una sola plataforma para muchos negocios. El aislamiento no es una promesa de marketing: está en el modelo de datos, en el middleware y en las pruebas.
Cada negocio, su espacio
La plataforma es multi-negocio: un solo backend sirve a muchos clientes y los datos de operación —leads, catálogo, pedidos, contenido— están atados a un sitio. Un negocio no puede leer ni escribir los de otro, aunque comparta la misma instalación.
Toda ruta con sitio, controlada
Cada endpoint que lleva un sitio en la URL pasa por la comprobación de acceso, y toda entrada que recibe un identificador de sitio verifica que sea tuyo. La suite de pruebas incluye un barrido que falla si una ruta se salta esa compuerta.
Roles dentro del negocio
El propietario y los miembros del equipo se guardan en la relación del sitio con el usuario, con su rol, su perfil y sus permisos. El propietario es el único que ve el estado de créditos o emite tokens.
Permisos por perfil
Los perfiles acotan por módulo y por nivel: lectura o escritura. En el mostrador, por ejemplo, el cajero vende pero no puede devolver; la devolución queda para el gerente —y para el equipo de un partner con ese permiso—. Un miembro sin permiso de analítica no ve el uso ni la atención del sitio.
Acceso
El acceso se emite, se limita y se revoca.
Tu sitio no entra con una contraseña maestra: entra con un token que dice qué puede hacer, y que puedes quitar en cualquier momento desde el panel.
Tokens de Sitio, con habilidades
El sitio consume la API con un token que se emite desde el panel. Cada token declara qué puede hacer —medición, leads, catálogo, blog, pedidos, certificaciones— y puede llevar fecha de caducidad. Solo el propietario los ve, los emite y los revoca.
Cada emisión y cada revocación quedan en el registro de auditoría. Y no puedes revocar el token con el que estás llamando: primero se revoca desde otra sesión.
Claves de medición separadas
El latido de visitas no usa el mismo secreto que los formularios. Las claves de ingesta se emiten aparte, con habilidades propias (medición, leads, catálogo, checkout, reservas), ligadas a los orígenes permitidos y revocables desde el panel: una clave de navegador no sirve para mandar leads si no tiene esa habilidad.
Esa separación es una palanca de operación: si un formulario recibe spam, se corta esa habilidad sin quedarse ciego de medición.
Credenciales de integración cifradas
Las claves de terceros se guardan cifradas, no en texto plano: la configuración de integraciones, los secretos de los webhooks, los tokens de las cuentas sociales y la llave de IA propia del sitio, cuando la usa.
Se descifran solo en el servidor, para hacer la llamada al proveedor.
Continuidad
Copias antes de tocar nada.
Cada actualización de la plataforma empieza por una copia de la base. Si la copia no sale completa, el despliegue no sigue.
Lo que sí hacemos
- Volcado de la base antes de cada despliegue, en una sola transacción para no bloquear la operación.
- Se verifica que el volcado haya terminado completo y se comprime; si la verificación falla, el despliegue se detiene.
- Se conservan las diez copias más recientes; las anteriores se rotan.
- El token del sitio y las claves de medición se revocan desde el panel, sin tocar código ni abrir un ticket.
Lo que no prometemos
- No publicamos un SLA con un porcentaje de disponibilidad. Los Términos dicen que el servicio se presta «tal cual» y puede sufrir interrupciones.
- No prometemos una frecuencia de copia distinta a la de cada despliegue.
- No decimos que somos una empresa certificada en ISO 27001 o SOC 2: no lo somos, y decirlo sería mentir.
Datos personales
Ley 1581, con los roles escritos.
La Política de Privacidad se aplica bajo la Ley 1581 de 2012, el Decreto 1074 de 2015 y la vigilancia de la Superintendencia de Industria y Comercio. Lo importante para un negocio es quién responde por qué.
Tú eres el Responsable
Cuando cargas los datos de tus contactos, clientes o leads, el negocio decide para qué se usan: es el Responsable del tratamiento. Merez actúa como Encargado: los aloja y procesa por cuenta del negocio, siguiendo sus instrucciones y sin decidir la finalidad.
Derechos del titular
Conocer, actualizar y rectificar los datos; pedir prueba de la autorización; saber cómo se usan; presentar queja ante la SIC; revocar la autorización y pedir la supresión cuando no haya deber legal de conservarlos; y acceder de forma gratuita.
Cómo se ejerce
Escribiendo a info@merez.co o por el formulario de contacto. Para la eliminación, el asunto es «Solicitud de eliminación de datos». Se atiende en los plazos de la ley, salvo que exista una obligación legal de conservar la información.
Transferencia internacional
Algunos proveedores están fuera de Colombia: los de inteligencia artificial procesan datos en Estados Unidos. La Política lo dice y explica con qué garantías se hace. No lo escondemos en la letra menuda.
Subencargados que la Política enumera hoy
- Infraestructura y hosting
- Vercel y Hostinger
- Mensajería
- Meta / WhatsApp Business Platform
- Inteligencia artificial
- OpenAI y Anthropic
- Analítica
- Google Analytics, cuando el negocio lo habilita
La lista vigente es la de la Política de Privacidad; esta página la resume. Si un proveedor cambia, el cambio se hace allí.
Propiedad y salida
Tus datos son tuyos. La salida también.
La pregunta que casi nadie responde: ¿qué pasa si me quiero ir? Aquí está, antes de que la hagas.
Los datos son del negocio
Los Términos lo dicen sin rodeos: los datos que cargas son de tu propiedad. El software, la marca y la plataforma son de INFLINDS S.A.S.
Puedes pedir una copia
Escríbenos a info@merez.co y se coordina la entrega de tu catálogo y tu base. Es el mismo canal para ejercer los derechos de Habeas Data.
El sitio deja de consumir la API
Cuando revocas el token del sitio, sus llamadas dejan de autenticarse. Tu web sigue siendo tuya; deja de depender de la plataforma.
Dominio y correo van aparte
El dominio y el buzón no están incluidos en el plan: se contratan y se pagan aparte, a nombre del negocio. Así no quedan atados a la plataforma.
Con claridad
Lo que Merez no es.
Confundir estas tres cosas es la causa más común de una expectativa que no se cumple. Mejor decirlo aquí.
No es un facturador electrónico
No emite factura ante la DIAN. Para eso sigues con tu facturador; acá quedan el pedido, el recaudo y el historial del cliente.
No es una historia clínica
Guarda la relación de servicio, las visitas y las conversaciones de cada cliente. Los datos clínicos siguen en tu sistema clínico.
No es un ERP contable
No lleva contabilidad, nómina ni impuestos. Da el catálogo, los pedidos y los recaudos para que tu contador no persiga papeles.
Contacto
¿Encontraste algo raro?
Escríbenos a info@merez.co con el asunto «Seguridad». Cuéntanos qué viste, en qué página o endpoint, cuándo y cómo reproducirlo; si es un dato sensible, no lo pegues completo: dinos dónde está.
No tenemos un programa de recompensas económicas por reportes. Sí leemos cada mensaje, lo verificamos y te decimos qué pasó.
Sigue leyendo