Seguridad y confianza
BumbleBox lee tu correo profesional y lo convierte en eventos que tus sistemas procesan. Esta página explica, sin marketing, cómo se protegen tus credenciales y tus datos, y lo que nunca hacemos.
Última actualización: octubre de 2026
Tus credenciales están cifradas (AES-256-GCM)
Las contraseñas IMAP/SMTP y los secretos se cifran en reposo con AES-256-GCM. Cada uso (CSRF, estado OAuth, firma) emplea una subclave derivada por separado, de modo que una fuga en un uso nunca compromete el cifrado de las credenciales.
Nada se envía sin tu clic
Un correo sale con tu clic en Enviar o Programar, protegido por un token CSRF firmado por el servidor, ligado a tu cuenta y al origen de la petición, válido 5 minutos, o dentro de un permiso permanente que tú mismo fijaste en BumbleBox (respuestas en un hilo en el que ya respondiste, sin compromiso), limitado a 20 al día, registrado y cancelable; subirlo exige ese mismo token y un asistente de IA conectado nunca puede cambiarlo. Todas las demás vías de envío (borradores automáticos, seguimientos automáticos, respuestas del piloto automático) están desactivadas de forma permanente. El piloto automático clasifica, mueve y archiva; nunca envía.
- ✓Protección contra reenvíos: toda dirección con rebote definitivo o bloqueada se rechaza antes del envío.
- ✓Antiphishing: URL engañosas, suplantación de marca, SPF/DKIM/DMARC.
Los eventos van firmados (HMAC-SHA256)
Cada evento entregado a tus sistemas lleva una cabecera X-BumbleBox-Signature (HMAC-SHA256 sobre marca de tiempo + cuerpo), con protección antirreproducción de 5 minutos y comparación en tiempo constante. Los endpoints están protegidos contra SSRF (sin IP privadas ni localhost). Puedes rotar tu secreto de firma en cualquier momento, con un periodo de gracia de doble clave sin cortes.
Tus datos se quedan en Europa
La API, la base de datos (PostgreSQL) y el procesamiento funcionan en una infraestructura soberana en Francia (OVH). El tráfico pasa por un túnel cifrado. Tus datos nunca se venden ni se usan para entrenar modelos de terceros.
Acceso de equipo sin compartir contraseña
En un buzón compartido, los miembros reciben roles (administrador / editor / solo lectura). Cada acción (asignar, enviar, eliminar) queda registrada en un historial de actividad. Las credenciales del buzón nunca se muestran a los miembros.
RGPD y consentimiento
Ningún rastreador de analítica ni de errores se carga antes de tu consentimiento explícito (artículo 6 del RGPD). Puedes exportar o eliminar tus datos en cualquier momento. Responsable del tratamiento: ICRAFT SAS, 58 Rue de Monceau, 75008 París (RCS París 992314237).
Subencargados
Los proveedores que tratan parte de los datos para que el servicio funcione: