Seguridad y protección de datos
QrX conecta proveedores de pago, transportistas y redes de taquillas de paquetes. La seguridad en QrX se basa en responsabilidades claras: el proveedor de pago gestiona el pago, el socio de entrega gestiona el paquete y QrX coordina el estado verificado entre ambos. Este artículo explica cómo esto protege a consumidores, comercios y socios.
Seguridad de los pagos
QrX nunca almacena datos de tarjeta. Los pagos los procesan proveedores de pago con licencia y conformes con PCI DSS (Stripe, Mollie y MultiSafePay). Los números de tarjeta y las credenciales de pago van al proveedor de pago, no a QrX.
QrX nunca retiene fondos de los clientes. El proveedor de pago liquida el dinero al comercio según el propio contrato del comercio con el PSP.
La autenticación reforzada del cliente, como 3D Secure o una confirmación en la app del banco, la aplican el proveedor de pago y su banco cuando el método de pago lo requiere.
Eventos de pago verificados. QrX solo marca una transacción como pagada a partir de una confirmación del proveedor de pago.
Las páginas de pago auténticas para pagar en la puerta se sirven en go.qr-x.app. Cada código QR está vinculado a un pedido concreto, para que pueda comprobar el importe y el comercio antes de pagar.
Cifrado y alojamiento
Todas las conexiones se cifran en tránsito con TLS 1.2 o superior.
Los almacenes de datos principales se cifran en reposo y las copias de seguridad están cifradas.
La plataforma está alojada en Google Cloud dentro del Espacio Económico Europeo (EEE). Cuando un proveedor de servicios transfiere datos fuera del EEE, se utiliza un mecanismo de transferencia válido, como las Cláusulas Contractuales Tipo de la UE.
Autenticación y control de acceso
Inicio de sesión en el portal con un código de verificación. El inicio de sesión en PortalX combina su contraseña con un código de verificación de un solo uso.
Permisos basados en roles. Los miembros del equipo solo ven y hacen lo que su rol permite.
Delimitación por cuenta. Los datos de cada comercio permanecen dentro de su propia cuenta y sus canales.
Solicitudes firmadas. Las solicitudes del portal se firman con HMAC para proteger su integridad.
Seguridad de la API. La API pública utiliza una clave de API del canal del comercio que se intercambia por un token Bearer de corta duración (válido durante una hora), con límites de peticiones por clave.
Webhooks firmados. Cada envío de webhook lleva una firma HMAC-SHA256 para que su sistema pueda verificar que procede de QrX. Los secretos de firma se pueden rotar.
Secretos de solo escritura. Las credenciales que guarda en PortalX, como sus propias cuentas de envío de correo electrónico o SMS, nunca se vuelven a mostrar después de guardarlas.
Seguridad de las comunicaciones
Los correos electrónicos transaccionales se envían a través de SendGrid, y los mensajes de SMS y WhatsApp a través de Bird, bajo acuerdos de tratamiento de datos. Los enlaces de pago, los códigos PIN y los mensajes de verificación solo se envían a los datos de contacto facilitados para el pedido, y los enlaces sensibles están firmados para que no se puedan adivinar ni modificar.
Supervisión y trazabilidad
Los errores de la aplicación se supervisan con Sentry, y la disponibilidad de la plataforma se publica en la página de estado de QrX en status.qr-x.app.
Las acciones en PortalX se registran en un registro de actividad, para que los comercios puedan ver quién hizo qué y cuándo.
Los controles de fraude y seguridad pueden marcar una transacción para su revisión. Una persona puede revisar una marca si se solicita. Si un pago se realiza correctamente lo decide el proveedor de pago con licencia.
Privacidad y RGPD
QrX B.V. trata los datos personales conforme al RGPD y la legislación neerlandesa. QrX es el responsable del tratamiento de los datos de la cuenta del comercio, facturación, sitio web, soporte y seguridad. Cuando un comercio envía a QrX los datos de sus clientes para envíos, Payment on Delivery, entrega con PIN o devoluciones, el comercio es el responsable del tratamiento y QrX es el encargado del tratamiento según el Anexo de Tratamiento de Datos de QrX. Lea la Política de privacidad y el Anexo de Tratamiento de Datos para más detalles. QrX nunca vende datos personales.
Qué puede hacer usted
No comparta nunca contraseñas, códigos de verificación, claves de API ni datos de tarjeta por chat, correo electrónico o teléfono. QrX nunca se los pedirá.
Guarde las claves de API solo en su servidor y rótelas si cree que han quedado expuestas.
Compruebe que una página de pago está en go.qr-x.app y muestra el importe de su pedido antes de pagar.
Cuándo contactar con nuestro equipo de soporte
Contacte directamente con el soporte de QrX si sospecha de un acceso no autorizado a su cuenta, una clave de API o un secreto de webhook filtrados, un enlace de pago sospechoso o una violación de datos. Los informes de seguridad siempre los gestiona una persona. Para solicitudes de privacidad, escriba a [email protected].