Seguridad y privacidad
Los datos de tus candidatos, protegidos en cada paso
Tus candidatos te confían cómo piensan y cómo trabajan. Kriba guarda sus respuestas separadas de las de cualquier otra empresa, le muestra sus resultados solo a tu empresa y borra sus datos un año después de que termina su proceso.
Aviso de privacidadAviso completo
Leí el aviso y acepto que Clínica Sonrisa use mis respuestas en este proceso de selección.
Comenzar
En cada paso
Qué pasa con los datos de tu candidato
Desde que le mandas el enlace hasta que sus datos se borran.
Le llega su enlace
Cada enlace lleva una firma que solo Kriba puede crear y abre la evaluación de esa persona, de nadie más. Uno inventado o alterado no abre nada. Tu candidato no crea cuenta ni contraseña.
Enlace firmadoSin cuentaAcepta tu aviso de privacidad
Antes de la primera pregunta ve el aviso de privacidad de tu empresa y lo acepta: el que trae Kriba o el que escribas en Configuración, con el nombre y el domicilio de tu empresa y el enlace a la página de tu aviso, que Kriba publica. Sin aceptarlo no puede empezar.
Tu avisoConsentimientoContesta una pregunta a la vez
Kriba solo acepta la respuesta de la pregunta que tiene en pantalla, en orden. Donde dice qué tanto está de acuerdo o qué tanto le gusta algo, puede regresar una pregunta para corregir un toque equivocado; en las demás pruebas, no. Las respuestas correctas nunca llegan a su celular ni a su computadora.
Una a la vezRespuestas correctas a salvoKriba lo califica
La calificación ocurre en nuestros servidores, no en su celular. Ni tu empresa ni el candidato pueden escribir o cambiar un resultado.
En el servidorSin cambiosTú lo revisas
Sus resultados los ve solo tu empresa, cada persona de tu equipo con su propia cuenta. La base de datos le entrega a cada empresa solo lo suyo, aunque alguien intente pedir más.
Solo tu empresaSeparado por empresaSe borra al año
Un año después de que termina su proceso, Kriba borra su evaluación sin que hagas nada. Si en ese tiempo lo moviste de etapa o le escribiste una nota, el año cuenta desde ese día. Tú lo puedes borrar antes.
AutomáticoCada día
Quién ve qué
Cada quien ve solo lo que le toca
Tu empresa, tu candidato y el personal de Kriba ven cosas distintas.
Tu empresa
Ve
- Tus candidatos y sus datos de contacto
- Sus resultados, alertas y respuestas a tus preguntas
- Las etapas y las notas, con quién hizo cada una
No ve
- Las respuestas correctas de las pruebas
- Su IP, su dispositivo ni su ubicación: Kriba no los guarda
Tu candidato
Ve
- El nombre de tu empresa y tu aviso de privacidad
- Sus preguntas, una a la vez, con su avance
No ve
- Sus resultados ni sus alertas
- Las etapas ni tus notas
- Las respuestas correctas
El personal de Kriba
Ve
- Tu cuenta, tu equipo y tu saldo
- Tus accesos y tu actividad
- Cuántos candidatos tienes
No ve
- Quiénes son tus candidatos
- Sus respuestas ni sus resultados
- Tus notas
Trabaja desde una consola aparte, que muestra solo esto. Para entrar pone su contraseña y un código de su celular, que vuelve a pedirle cada 12 horas. Si tu empresa se lo pide, quita o invita a alguien o cambia a la persona responsable, y a todo tu equipo le llega un correo.
Ninguna otra empresa ve nada de lo tuyo. La separación vive en la base de datos, no solo en las pantallas: aunque alguien lo intente, a cada empresa solo le llega lo suyo.
Tu cuenta
Tu cuenta y la de tu equipo, protegidas
Para que entren solo quienes deben.
Cada cuenta confirma su correo
Una cuenta nueva entra solo con el código que le llega a su correo, y hasta su primera compra tiene un límite más bajo de correos. Si una empresa no cumple los Términos, suspendemos su cuenta.
Una cuenta por persona
Tu equipo entra con cuentas propias, hasta 20 personas. Si quitas a alguien, deja de entrar en ese momento y su cuenta se borra.
Contraseñas que nadie lee
Se guardan cifradas. Para cambiar la tuya, Kriba te pide la actual y, al guardarla, tus otras sesiones dejan de servir en 15 minutos como máximo.
Intentos limitados
Si alguien prueba contraseñas en tu cuenta desde una misma red, después de 10 fallos Kriba lo detiene hasta por 10 minutos. Para contarlos no guarda tu IP ni tu correo.
Sesiones protegidas
Tu sesión vive en una cookie que el código de la página no puede leer, y su acceso se renueva cada 15 minutos. Si no entras en 30 días, vence.
Correos que no revelan nada
Pedir una contraseña nueva no revela si un correo tiene cuenta, y los enlaces de los correos solo funcionan cuando tú pulsas el botón.
Mensajes sin engaños
El nombre de tu empresa y el de tus vacantes, que llegan en los correos y en WhatsApp, no pueden llevar direcciones web ni caracteres ocultos. Así nadie esconde un enlace en ellos.
Envíos con tope
Una cuenta no crea más de 200 evaluaciones al día, y el mismo enlace sale por correo tres veces al día como máximo. Así nadie usa Kriba para llenar de correos a una persona.
Nuestros compromisos
Los datos de tus candidatos sirven para una sola cosa: ayudarte a decidir
Lo mismo que promete nuestro Aviso de privacidad.
- No los vendemos ni los rentamos, y no los usamos para publicidad.
- Solo los compartimos con los proveedores que dan el servicio, que los tratan por nuestra cuenta y bajo confidencialidad, o con una autoridad que los pida conforme a la ley.
- Nuestras pruebas no preguntan por salud, religión, opiniones políticas, preferencia sexual ni otros datos sensibles, y no los deducimos de las respuestas.
- No hacemos diagnósticos: los resultados describen formas de trabajar y de decidir.
- Sin publicidad ni analítica: Kriba solo usa la cookie de tu sesión, y a tu candidato y a quien visita este sitio no les pone ninguna.
Infraestructura
Dónde viven los datos
Kriba se apoya en tres proveedores especializados de Estados Unidos, todos con auditoría de seguridad SOC 2 Tipo II, que tratan los datos por nuestra cuenta y bajo confidencialidad.
La base de datos
Guarda cuentas, vacantes y evaluaciones en un centro de datos especializado.
- En Virginia, Estados Unidos
- Cifrada mientras se guarda
- Un respaldo cada día, que se guarda 7 días
La aplicación
Kriba y este sitio corren en una nube especializada en aplicaciones web.
- Solo conexiones cifradas (HTTPS)
- Tu navegador recuerda entrar siempre así
Los correos
Un servicio de envío especializado manda los correos de Kriba.
- Los de tus candidatos salen a nombre de tu empresa, «vía Kriba»
- Si te contestan, la respuesta llega al correo que elijas
Detalles técnicosPara tu equipo de sistemas.
- Aislamiento por empresa con Row Level Security de Postgres en todas las tablas; el rol anónimo no tiene permisos.
- El navegador nunca habla con la base de datos: la llave de servicio y el secreto de los enlaces viven solo en el servidor.
- Enlaces del candidato firmados con HMAC-SHA256 y revisados en tiempo constante; no se guarda ningún token.
- Respuestas correctas, pesos y escalas, solo con la llave de servicio. La vista del candidato nunca los trae.
- Calificación en el servidor: las empresas no pueden escribir evaluaciones, respuestas ni resultados.
- Sesiones en cookies httpOnly, secure y SameSite=Lax, con tokens de acceso de 15 minutos.
- HTTPS con HSTS de dos años; la app no se puede mostrar dentro de otra página.
- Cifrado en reposo AES-256 y en tránsito TLS en la base de datos.
- Límites de intentos con claves firmadas con HMAC: no se guarda la IP ni el correo, y se borran al día.
- Personal de Kriba con segundo factor (TOTP) cada 12 horas, revisado en la base de datos en cada función de su consola.
- Registros de errores sin correos, teléfonos ni enlaces, que se borran a los 90 días.
- Borrado diario con pg_cron, como lo dice el Aviso de privacidad.
¿Dónde se guardan los datos?
En un centro de datos especializado en Virginia, Estados Unidos, cifrados mientras se guardan y con un respaldo cada día. La app y los correos también corren con proveedores especializados; los tres tienen auditoría SOC 2 Tipo II y tratan los datos por nuestra cuenta y bajo confidencialidad.
¿Kriba vende o comparte los datos de mis candidatos?
No. Solo los tratan los proveedores que dan el servicio, por nuestra cuenta. Fuera de eso, solo los compartimos si una autoridad los pide conforme a la ley.
¿Quién es responsable de los datos de mis candidatos?
Tu empresa. Kriba es el encargado: los trata por tu cuenta y solo para darte el servicio. Por eso cada candidato acepta el aviso de privacidad de tu empresa antes de empezar: Kriba lo arma con el domicilio y el correo para candidatos que das, y publica tu aviso completo, o escribes el tuyo en Configuración.
¿Mi candidato ve sus resultados?
No. Al terminar le damos las gracias, sin decirle qué se midió. Los resultados solo los ve tu empresa.
¿Puedo borrar a un candidato antes del año?
Sí. Cualquiera de tu equipo lo elimina desde Kriba, y con él se borran sus postulaciones, evaluaciones, respuestas, resultados y notas. Los respaldos diarios guardan una copia hasta 7 días.
¿Cómo pide un candidato ver o borrar sus datos?
Le escribe a tu empresa, que es la responsable. Si nos escribe a nosotros, te pasamos su solicitud.
¿Qué pasa con los datos si cierro mi cuenta?
La persona responsable de la cuenta la cierra desde Configuración, con el nombre de tu empresa y su contraseña, o nos lo pides por correo. En ese momento se borra todo lo de tu empresa: tu equipo con sus cuentas, tus candidatos con sus evaluaciones y tus vacantes. Solo guardamos cinco años, como pide la ley fiscal, una constancia con el nombre de tu empresa, la fecha, cómo se cerró y tus compras, sin datos de candidatos ni de tu equipo. Los respaldos diarios guardan una copia hasta 7 días.
¿Cómo reporto una falla de seguridad?
Escríbenos a hola@superfy.pro con lo que encontraste y cómo llegar a ello. Lo revisamos y te contestamos.