Seguridad

Última actualización: 20 de agosto de 2026

Infraestructura

Toriku se ejecuta sobre Amazon Web Services (AWS), cuya infraestructura cuenta con certificaciones SOC 2, ISO 27001 y PCI DSS, entre otras. Nuestros servicios operan en regiones de Estados Unidos.

Cifrado en tránsito para toda comunicación.
Cifrado en reposo para bases de datos y almacenamiento.
Firewalls y grupos de seguridad que restringen el acceso solo a los servicios necesarios.
La base de datos no es accesible desde internet: solo acepta conexiones desde el servidor de la aplicación.

Datos

Cifrado y backups

Todos los datos se cifran tanto en tránsito como en reposo. Realizamos backups automáticos diarios, cifrados, con retención de 14 días.

Credenciales

Las contraseñas se almacenan con hash irreversible. Las credenciales de integración (Transbank, Starken y facturación electrónica) se almacenan cifradas en un gestor de secretos, fuera de la base de datos de la aplicación, y se recuperan solo en el momento de usarse. No se exponen en la interfaz ni en los registros del sistema; solo se muestra una referencia parcial para identificarlas.

Aislamiento entre tiendas

Cada tienda opera de forma aislada: todas las consultas se acotan a la tienda correspondiente, y los datos de un comercio no son accesibles desde otro. El control de acceso se aplica de forma consistente en la capa de aplicación, sobre cada operación que accede a datos de tienda.

Analítica de la plataforma

Toriku mide la navegación en las tiendas para entender cómo se usa la plataforma y mejorarla. La medición solo se activa si el visitante acepta las cookies analíticas, y cada merchant puede desactivarla para su tienda desde su panel. El detalle —qué se recoge, con qué alcance y bajo qué rol actúa Toriku— está en la Política de Privacidad.

Pagos

Ventas de tu tienda: los pagos con tarjeta de tus clientes se procesan directamente a través de Transbank Webpay, con las credenciales de tu propio convenio. Los datos de tarjeta nunca pasan por nuestros servidores: el cliente los ingresa en la página segura de Transbank y nosotros solo recibimos la confirmación de la transacción. Los fondos se abonan en tu cuenta conforme a las condiciones de tu convenio; Toriku no intermedia ni retiene dinero en ningún momento.

Si habilitas la transferencia bancaria como medio de pago, la transacción ocurre directamente entre tu cliente y tu cuenta. Toriku permite adjuntar el comprobante y te notifica por correo cuando llega, pero no verifica su autenticidad ni la recepción de los fondos: la confirmación del pago la haces tú, revisando tu cuenta bancaria.

Tu suscripción a Toriku: los cobros recurrentes se procesan a través de Flow. Los datos de tu tarjeta los gestiona directamente Flow y tampoco pasan por nuestros servidores.

Asistente con IA

El asistente se apoya en proveedores especializados de inteligencia artificial, que actúan como encargados del tratamiento y se detallan en la Política de Privacidad. Funciona en dos modos:

Modo administrador

Para responder lo que preguntas, el asistente consulta datos de gestión de tu tienda (productos, stock, ventas, pedidos). Solo accede a los de tu tienda.
El asistente puede realizar acciones sobre la tienda, pero toda acción que modifica datos requiere confirmación explícita del administrador antes de ejecutarse. No ejecuta cambios de forma autónoma.
No se envían datos bancarios, credenciales de integración ni información de tarjetas.

Modo cliente

Lo habilitas tú desde la configuración de tu tienda. Si no lo activas, tus clientes no tienen asistente y no se envía ningún dato suyo al proveedor.
Los clientes autenticados pueden consultar productos, sus propios pedidos, direcciones guardadas y estado de despacho.
Cada cliente solo accede a sus propios datos. La identidad se toma de la sesión autenticada y nunca de lo que indique el asistente, así que no es posible pedirle los datos de otra persona.
El modo cliente es de solo lectura: no puede modificar datos ni ejecutar acciones.
No se envían datos bancarios, credenciales ni información de tarjetas.

En ambos modos, el proveedor no utiliza los datos para entrenar sus modelos. Los mensajes de voz que envíes al asistente de administración se transcriben a texto y el audio no se almacena en nuestros servidores.

Toriku conserva el contenido de las interacciones para operar el servicio, medir el uso y prevenir abusos, conforme a los plazos establecidos en la Política de Privacidad.

Dominio personalizado

Según el plan contratado, puedes publicar tu tienda en un subdominio de toriku.cl o en un dominio propio. Para usar un dominio propio debes configurar en tu proveedor los registros DNS que te indiquemos; tu subdominio de toriku.cl se mantiene disponible.

Los certificados SSL se emiten y renuevan automáticamente mientras la configuración DNS se mantenga correcta. Toriku no garantiza disponibilidad si la configuración es incorrecta o si el dominio expira.

Acceso y control

Autenticación: sesión con tokens y expiración automática. Al cambiar tu contraseña se revocan las sesiones activas en otros dispositivos.
Verificación en dos pasos (2FA): disponible para las cuentas del panel mediante aplicación de autenticación, con códigos de respaldo. El administrador puede exigirla por rol a su equipo.
Permisos por rol: según el plan contratado, cada usuario puede tener permisos específicos.
Auditoría de accesos: registro interno de los eventos de autenticación (inicios de sesión exitosos y fallidos, cierres de sesión, cambios y restablecimientos de contraseña, revocación de sesiones), con retención de 12 meses. Lo conservamos para investigar incidentes y responder ante brechas; no se expone en el panel.
Rate limiting: protección contra abuso y fuerza bruta en endpoints sensibles.

Monitoreo y respuesta

Monitoreo automático y continuo de la infraestructura, con alarmas sobre la disponibilidad del servidor y el uso de CPU, memoria y almacenamiento de la base de datos.
Las alarmas envían una notificación automática por correo cuando se superan los umbrales definidos.
Contamos con un procedimiento documentado de respuesta ante brechas de datos personales, con roles y plazos de notificación definidos.
Ante una vulneración de seguridad que afecte datos personales, notificamos a la Agencia de Protección de Datos Personales, al merchant afectado y a los titulares cuando corresponda, conforme a la Política de Privacidad.

Cumplimiento

Ley de Protección de Datos Personales (Ley N° 19.628, reformada por la Ley N° 21.719): tratamiento de datos conforme a la normativa chilena.
Art. 28 B Ley 19.496: el consentimiento para comunicaciones comerciales se solicita mediante casilla no premarcada, se registra con su fecha y origen, y las comunicaciones comerciales incluyen enlace de baja.
PCI DSS: los pagos se procesan a través de Transbank, que cumple con los estándares PCI DSS.

Respecto de los datos de los compradores de cada tienda, el merchant es el responsable del tratamiento y Toriku actúa como encargado: nosotros ponemos las medidas técnicas descritas en esta página, y a cada merchant le corresponde determinar las finalidades, informar a sus clientes mediante su propia política de privacidad y atender las solicitudes que reciba. El reparto completo está en la Política de Privacidad.

Tu responsabilidad

La seguridad también depende de ti. Te recomendamos:

Usar contraseñas fuertes y no compartirlas.
Activar la verificación en dos pasos, y exigirla a los usuarios de tu equipo según su rol.
Mantener tu convenio Transbank y cuenta bancaria actualizados.
Revisar periódicamente los usuarios con acceso a tu tienda.
Revocar y rotar tus credenciales de Transbank y Starken si sospechas compromiso.
Contactarnos de inmediato si detectas actividad sospechosa.

Contacto de seguridad

Si descubres una vulnerabilidad o tienes una consulta de seguridad, escríbenos a soporte@toriku.cl. Acusamos recibo de los reportes dentro de 72 horas y te mantenemos informado del avance. No emprenderemos acciones contra quien reporte una vulnerabilidad de buena fe, sin acceder a datos de terceros ni degradar el servicio.