Política de Seguridad de la Información

Aplica a todos los sistemas digitales operados por Universo Nómada®: sitio web universonomada.cl, panel administrativo, APIs de reserva y pago, correos transaccionales y almacenamiento de documentos de viaje.

• Confidencialidad: solo personal autorizado accede a datos de reservas, pagos y documentos.
• Integridad: los montos, estados de reserva y documentos no pueden modificarse sin autenticación admin.
• Disponibilidad: monitoreo y respaldos para mantener el servicio operativo.
• Minimización de datos: recolectamos únicamente la información necesaria para cotizar, reservar y operar el viaje.

• Cifrado HTTPS (TLS) en todas las comunicaciones en producción.
• Cabeceras de seguridad: CSP, HSTS, X-Frame-Options DENY, nosniff, COOP y CORP.
• Sesiones firmadas con HMAC-SHA256; cookies HttpOnly y Secure en producción.
• Contraseñas de administradores hasheadas con bcrypt.
• Autenticación de miembros mediante OTP por correo (códigos de un solo uso con expiración).
• Rate limiting por IP en login, registro, checkout, pagos, disponibilidad hotelera, reservas, búsqueda de vuelos, ruleta, leads y campañas.
• Bloqueo tras 5 intentos fallidos de login (15 minutos) por email e IP.
• Cloudflare Turnstile anti-bot en login, checkout, cotizaciones y OTP (cuando está configurado).
• Campo honeypot invisible en formularios públicos para bloquear bots automáticos.
• Rate limit global en todas las APIs (120/min) y capa admin (180/min) vía middleware.
• Validación de archivos subidos por magic bytes (JPEG, PNG, WebP, GIF, PDF); sin ejecución de PHP ni plugins.
• Validación de origen (Origin/Referer) en endpoints sensibles en producción.
• Bloqueo de rutas de escaneo automatizado (bots, exploits conocidos).
• Límite de tamaño de cuerpo JSON en APIs (500 KB máximo).
• Sanitización de entradas de usuario antes de persistir o enviar por email.
• APIs administrativas protegidas con rol admin y rate limit dedicado.
• Cron jobs protegidos con secreto CRON_SECRET.
• Variables sensibles solo en servidor (.env), nunca expuestas al cliente.

No almacenamos números completos de tarjetas. Los pagos con tarjeta se procesan en pasarelas certificadas (SumUp, Transbank, Mercado Pago). Solo conservamos referencias de transacción, montos y estados para conciliación.

• Transferencias bancarias: publicamos datos de cuenta oficial; el comprobante lo envía el cliente por canal acordado.
• Webhooks de pago validados contra APIs oficiales de cada proveedor.

• Los PDF de viaje se almacenan en servidor con acceso restringido al titular de la reserva autenticado.
• Expiración automática de descarga 7 días después del fin del viaje.
• Solo administradores autorizados pueden subir o eliminar documentos.

• Detección: monitoreo de intentos de fuerza bruta, picos anómalos de tráfico y errores de autenticación.
• Contención: bloqueo por rate limit y revocación de sesiones comprometidas.
• Notificación: en caso de brecha que afecte datos personales, informaremos a usuarios afectados y autoridades según la ley chilena aplicable.
• Mejora continua: rotación periódica de secretos (SESSION_SECRET, CRON_SECRET, claves API).

• Mantener confidencialidad del código OTP enviado a su correo.
• No compartir enlaces de confirmación de pago con terceros.
• Reportar actividad sospechosa a contacto@universonomada.cl.

Operamos conforme a la Ley N° 19.628 sobre Protección de la Vida Privada (Chile) y buenas prácticas de la industria turística. Estamos registrados ante SERNATUR como operador turístico.