Estás poniendo
una tarjeta en un sitio
que encontraste
hace diez minutos.

Lo que todavía no tenemos

Empezamos por aquí, porque es lo primero que pregunta un lector desconfiado y esconderlo ya sería una respuesta. Kliwe no tiene SOC 2 ni tiene ISO 27001. Somos una empresa joven, esas auditorías cuestan tiempo y dinero que ahora mismo estamos poniendo en el producto, y no vamos a colgar un sello en esta página que insinúe otra cosa.

Lo que sí haremos es responder por escrito a un cuestionario de seguridad, con el mismo detalle que todo lo de abajo, y decir «todavía no» claramente donde esa sea la respuesta. Si hoy una certificación es un requisito para ti, preferimos que lo sepas ahora y no después de recargar.

Qué pasa con la llamada

• El tramo del navegador va cifrado. El audio entre tu navegador y Kliwe usa DTLS-SRTP, el mismo cifrado que usa cualquier navegador para voz y vídeo. La señalización va sobre TLS.
• El resto del trayecto es la red telefónica, y eso no lo puede cifrar nadie. En cuanto tu llamada nos deja para ir al operador que hará sonar el número, es una llamada normal de la red pública. Ningún proveedor del mundo cifra ese tramo, y cualquier servicio que insinúe lo contrario te está contando algo que no es cierto. Preferimos ser los que lo dicen.
• Las llamadas nunca se graban. En este producto no hay audio en ninguna parte — no se pide, no se descarga y no se guarda ninguna grabación — así que no hay archivo de tu voz que filtrar, requisar ni dejar mal montado. Una cuenta puede activar transcripciones escritas, que son texto, cuestan dinero y se borran en un plazo fijo. El sonido no se guarda en ningún caso.
• Las llamadas de emergencia no funcionan. Kliwe no puede llegar al 112, al 911, al 123 ni a ningún número nacional de emergencia, porque no podemos establecer dónde estás físicamente. Ten siempre otra forma de pedir ayuda. Está dicho aquí además de en la portada porque es un asunto de seguridad de las personas, no un hueco de producto.

Qué pasa con tu tarjeta

• Nunca la vemos. Los pagos van por Stripe. Los datos de la tarjeta se escriben del lado de Stripe y no llegan a nuestros servidores en ningún momento, así que en nuestros sistemas no hay ningún número de tarjeta que robarnos.
• Kliwe es el nombre de tu extracto. Conviene saberlo de antemano: una línea desconocida en el banco es por lo demás indistinguible de un fraude, y preferimos ahorrarte esos diez minutos.
• Las recargas se revisan, y las cuentas nuevas también. Los destinos caros están limitados hasta que una cuenta tiene un poco de historial. Es una molestia ocasional para una persona honrada y es la razón por la que las tarifas publicadas pueden quedarse donde están: las tarjetas robadas comprando llamadas son lo que financia el fraude que todos los demás meten en el precio.

Qué guardamos de tus llamadas

El registro de la llamada: el número que marcaste, cuándo, cuánto duró, cuánto costó y con qué saldo te quedaste. Eso es lo que exige la facturación y lo que la ley exige a cualquiera que curse tráfico de voz, y sin ello no podríamos enseñarte un recibo honesto.

Lo que no guardamos es tu voz. No hay audio ni análisis de cómo se dijo nada, porque no se graba nunca. Una cuenta puede activar transcripciones, y entonces lo que se habla en sus propias llamadas se escribe como texto, se guarda los días que se indican y luego se borra: apagado hasta que alguien lo enciende, con el precio en la página que lo ofrece, y borrable una a una. Puedes ver tu historial, exportarlo y borrar lo que no estemos legalmente obligados a conservar — la página de privacidad dice exactamente qué es eso en vez de insinuarlo.

Tu cuenta

• Una cuenta, un saldo, un dueño. Nadie en Kliwe puede hacer una llamada con tu cuenta ni gastar tu saldo.
• Las sesiones se cierran a distancia. Si entraste en una computadora prestada o pública y se te olvidó salir, puedes cerrar esa sesión desde donde sea. Aquí importa más que en casi cualquier producto, porque la premisa entera es poder usar una máquina que no es tuya.
• Mínimo privilegio de puertas adentro. El acceso a producción está restringido a quien la opera, se concede persona a persona y se retira en cuanto deja de hacer falta.

Reportar una vulnerabilidad

Escribe a security@kliwe.com con detalle suficiente para reproducir el problema. Vas a recibir respuesta de una persona —no un autoresponder— acusando recibo.

No emprenderemos acciones legales contra quien reporte una vulnerabilidad de buena fe, nos dé un plazo razonable para arreglarla antes de divulgarla, y no acceda, modifique ni extraiga datos que no sean suyos. Probar contra tu propia cuenta y tu propio saldo siempre está dentro del alcance.

Por favor, no lances escáneres automáticos contra producción, ni intentes denegación de servicio, ni uses ingeniería social contra nuestro equipo o nuestros clientes. Y en concreto: por favor no pruebes llamando a personas reales ni a números de emergencia. Al otro lado de cada número de esta red hay alguien.

Disponibilidad

La disponibilidad en vivo se publica en status.kliwe.com, por región y con historial de incidentes. La voz es un servicio donde una caída de cinco minutos es una llamada que alguien no pudo hacer justo a la única hora en que la oficina estaba abierta, y la reportamos como tal en vez de diluirla en un porcentaje mensual.