Condiciones de contratación

Última actualización: pendiente de la revisión legal

Qué contratas

Alojamiento web en servidores gestionados por Bintelcom OÜ, con los recursos y funciones del plan que elijas. Los planes y sus precios están en la página principal y son los que se aplican en el momento de contratar.

Precios, impuestos y facturación

• Los precios se muestran sin impuestos. El IVA que corresponda a tu país y a tu NIF-IVA se calcula antes de pagar y aparece en la factura.
• El pago es por transferencia bancaria indicando el número de factura como concepto. El servicio se activa al recibirlo.
• La renovación se factura 10 días antes del vencimiento y te avisamos por correo.

Qué pasa si no se paga

Diez días después del vencimiento el servicio se suspende: deja de funcionar, pero no se borra nada. Tus archivos, tu correo y tus bases de datos siguen ahí y vuelven enteros en cuanto se pague.

Pendiente: cuánto tiempo se conservan los datos de una cuenta suspendida antes de eliminarla, y con cuánto aviso previo.

Copias de seguridad

Cada cuenta se crea con una copia diaria y se conservan las siete últimas. Es una red de seguridad nuestra y conviene que tengas la tuya: no sustituye a que guardes tus propias copias de lo que sea importante.

Uso aceptable

No se puede usar el alojamiento para enviar correo masivo no solicitado, distribuir programas dañinos, alojar contenido ilícito, ni para nada que ponga en riesgo el servicio de los demás clientes del mismo servidor. Pendiente: qué se hace ante un incumplimiento y con qué aviso.

Baja

Puedes darte de baja escribiéndonos a support@xbihosting.com. El servicio sigue hasta el final del periodo ya pagado. Pendiente: política de devoluciones y, si se vende a consumidores, el derecho de desistimiento.

Disponibilidad

Pendiente: si se compromete un porcentaje de disponibilidad y qué compensación lleva. Mejor no prometer un número que no se pueda medir y demostrar.

Política de seguridad

Qué hacemos para que lo tuyo no se pierda ni acabe en manos de otro. Está escrito a partir de lo que el sistema hace de verdad, no de una plantilla: donde algo todavía no está hecho, lo dice.

El principio del que sale todo lo demás

Lo que no se guarda no se puede perder, y lo que no se puede leer no se puede filtrar. Por eso hay cosas que no tenemos: no guardamos tu contraseña —solo una huella con la que no se puede volver atrás—, no guardamos números de tarjeta —de eso se encarga la pasarela de pago, y los datos no pasan por nuestros servidores— y no conservamos acceso permanente a los servidores que te entregamos.

Cómo se guardan las contraseñas

Con Argon2id, que es el algoritmo recomendado hoy para esto, con sal distinta para cada una y un coste de memoria alto a propósito: hace que probar contraseñas a lo bruto sea caro incluso con tarjetas gráficas. De una huella no se saca la contraseña; si alguien se llevara nuestra base de datos entera, no tendría las contraseñas de nadie.

El mínimo son diez caracteres y el formulario ofrece generar una de veinte. Si te la generamos, no la guardamos en ningún sitio nuestro: la ves una vez y la copias.

Segundo factor

Puedes activar un código de un solo uso (TOTP) en tu área, con la aplicación que prefieras, y te damos códigos de respaldo para el día que pierdas el móvil. Entrar con Google o Facebook no se lo salta: si tienes segundo factor, te lo pedimos igual. Era la puerta de atrás obvia y está cerrada a propósito.

Los secretos: de qué forma se guardan

La clave maestra vive en el entorno del servicio, no en la base ni en el código. Quien se lleve una copia de la base sin ella no puede abrir nada de lo cifrado.

En tránsito

Todo va por HTTPS. Las cookies de sesión son HttpOnly —JavaScript no las puede leer, que es lo que impide que un script robado se lleve tu sesión— y Secure, así que no viajan por una conexión sin cifrar.

Quién puede ver qué, por dentro

Nuestro equipo trabaja con cuentas nominales y permisos por área: quien lleva el soporte no tiene por qué tocar la facturación, y quien lleva los servidores no ve los datos fiscales de nadie. Queda registro de quién hace qué, cuándo y desde dónde, y ese registro no se puede borrar desde la propia aplicación.

Cuando te entregamos un servidor, dejamos una clave para poder instalarlo y la quitamos antes de dártelo: a partir de ahí, dentro de tu máquina mandas tú. Si alguna vez necesitamos entrar para ayudarte, te lo pedimos.

Copias de seguridad

La base de datos se copia a diario de forma automática, se guarda cifrada y se comprueba que la copia tiene dentro lo que debe —una copia que nadie ha restaurado nunca no es una copia—.

Pendiente y dicho en voz alta: hoy esas copias viven en la misma máquina. Protegen de un borrado por error o de una migración que sale mal, que es lo que pasa a menudo, pero no de perder el servidor. Llevarlas fuera está en marcha.

Qué hacemos si algo sale mal

Si hubiera una brecha que afecte a tus datos personales, te lo decimos, y se lo decimos a la autoridad de protección de datos dentro de las 72 horas que marca el RGPD. Te diremos qué ha pasado, qué datos, qué hemos hecho y qué te conviene hacer a ti. No vamos a enterrarlo en una nota al pie.

Si encuentras un fallo

Escríbenos a support@xbihosting.com con lo que has visto. No tomamos represalias contra quien informa de buena fe de un problema de seguridad, y te diremos qué hemos hecho con ello. Te pedimos lo de siempre: no toques datos de otros clientes, no degrades el servicio y danos un margen razonable antes de hacerlo público.

Lo que depende de ti

Una contraseña única para esta cuenta, el segundo factor activado, y el contenido de tu servidor al día: un WordPress sin actualizar es la vía de entrada más común que vemos, y ahí no podemos protegerte desde fuera.

Quién responde de esto

Bintelcom OÜ, Järvevana tee 9, 11314 Tallinn, Harju maakond (Kesklinna linnaosa), Estonia. Código de registro 16727495. Contacto: support@xbihosting.com.