Seguridad de tu cuenta y de tus datos

Autenticación en dos pasos (2FA / MFA)

La cuenta admite verificación en dos pasos mediante una aplicación de autenticación en tu teléfono o un código enviado por correo. Recomendamos la aplicación, porque no depende de la seguridad del buzón de correo.

La activación es opcional al crear la cuenta, pero tu gerente personal te la sugerirá en la primera llamada y la plataforma la pedirá antes de aprobar el primer retiro. Si pierdes el dispositivo, puedes recuperar el acceso con los códigos de respaldo que se generan al activarla o mediante el proceso de verificación de identidad descrito en el punto seis.

Un consejo práctico: no uses el mismo teléfono para recibir el código y para abrir el correo desde el que se restablece la contraseña. Si ambos dependen de un único dispositivo, perder ese dispositivo supone perder las dos capas de protección.

Cifrado de la información

Los datos que viajan entre tu navegador y nuestros servidores se protegen con TLS, de modo que no puedan leerse en el trayecto. Los datos que guardamos, como documentos de verificación y claves API, se almacenan cifrados.

El cifrado se aplica a la cuenta, al historial de actividad y a los canales de soporte. El acceso interno a esa información se limita al personal que la necesita para su función y queda registrado.

Nunca enviamos contraseñas ni claves por correo y los mensajes de soporte no incluyen datos sensibles completos. Si algo debe enviarse, se hace desde tu cuenta, en un canal cifrado.

Protección frente a fraude y phishing

Nuestro único dominio oficial es smartai-capital.com y nuestro correo de soporte es [email protected]. Desconfía de mensajes que lleguen desde otros dominios, de enlaces acortados y de cualquier persona que te pida contraseñas, códigos de verificación o claves API.

Puedes definir un código de protección personal que incluiremos en los correos que te enviemos: si un mensaje que dice ser nuestro no lo trae, no lo abras. Si ya recibiste uno sospechoso, reenvíalo a soporte. Más información en el aviso de fraude.

Los fraudes más comunes llegan por llamadas o mensajes que simulan ser soporte técnico, ofrecen «recuperar» fondos perdidos o piden instalar un programa de acceso remoto. Nuestro equipo nunca solicita nada de eso.

Notificaciones de inicio de sesión

Cada vez que se accede a tu cuenta desde un dispositivo o una ubicación que no reconocemos, te enviamos un aviso por correo electrónico. Si fue un acceso tuyo, no tienes que hacer nada.

Si no lo reconoces, la alerta incluye un enlace para cerrar todas las sesiones y bloquear temporalmente la cuenta. También te avisamos ante actividad inusual, como varios intentos fallidos seguidos o un cambio de correo registrado.

Estas alertas funcionan mejor si el correo de la cuenta es uno que revisas con frecuencia. Te sugerimos no usar una dirección compartida con otras personas.

Gestión de dispositivos y sesiones

Desde el panel puedes ver las sesiones activas con su dispositivo, navegador y ubicación aproximada, y revocar cualquiera de ellas con un clic. Al cambiar la contraseña se cierran las demás sesiones automáticamente.

Las sesiones inactivas se cierran solas tras un período de inactividad, para reducir el riesgo cuando usas un equipo compartido. En computadoras públicas, cierra siempre la sesión al terminar.

Evita iniciar sesión desde redes wifi abiertas sin protección y mantén actualizado el navegador. Si compartes dispositivo con alguien, usa un perfil de navegador distinto o una ventana privada.

Recuperación de la cuenta

Si olvidas tu contraseña o pierdes el segundo factor, el primer paso es el enlace de recuperación enviado a tu correo registrado. Para cuentas con 2FA activa, solicitamos además una verificación de identidad con documento y fotografía.

Si no puedes completar el proceso automático, contacta a soporte. Por seguridad, la recuperación asistida puede demorar y el primer retiro posterior queda sujeto a un período de revisión adicional.

Esta demora es deliberada: un proceso de recuperación demasiado sencillo sería también la puerta de entrada ideal para quien intente suplantarte. Preferimos pedirte un poco más de paciencia a poner tu cuenta en riesgo.

Permisos de las claves API

La plataforma se conecta a tu exchange mediante claves API. Al crearlas, tú decides los permisos: lectura de saldos y datos, operación de órdenes o ambas. Nunca debes habilitar el permiso de retiro y nuestra plataforma no lo necesita.

• Lectura: permite ver saldos e historial.
• Operación: permite colocar y cancelar órdenes según la estrategia.
• Retiro: déjalo desactivado siempre y limita la clave a las direcciones IP indicadas por tu gerente.

Guarda las claves en un gestor de contraseñas y renuévalas cada cierto tiempo. Si crees que una se expuso, bórrala del exchange de inmediato.

Historial de auditoría

Cada cuenta conserva un registro de inicios de sesión, conexiones de exchange, cambios de estrategia y modificaciones de configuración, con fecha, hora y dispositivo. Puedes consultarlo en cualquier momento desde el panel.

Revisarlo con regularidad es una de las mejores formas de detectar un uso no autorizado. Si ves un cambio que no hiciste, activa el procedimiento de incidentes del punto siguiente.

El registro no puede modificarse ni borrarse desde la cuenta, lo que lo vuelve una fuente confiable cuando hay que reconstruir qué ocurrió ante un incidente.

Apoyo ante incidentes

Si sospechas que alguien accedió a tu cuenta, escribe de inmediato a [email protected] o avisa a tu gerente personal. Podemos bloquear la cuenta de forma preventiva, revocar sesiones y claves, y revisar el historial contigo.

El orden habitual es: bloqueo preventivo, revisión del historial de auditoría, restablecimiento de credenciales y reconexión segura con el exchange. Te informamos por correo en cada etapa y, si el caso lo requiere, lo escalamos al área de cumplimiento. Mientras tanto, cambia la contraseña de tu correo y desactiva las claves API desde el panel de tu exchange.

Después del incidente, preparamos con tu gerente una lista de medidas para evitar que se repita: nuevas credenciales, revisión de dispositivos autorizados, ajuste de permisos y, si procede, formación breve sobre las señales de phishing más recientes. Si el incidente afectó datos personales, te informaremos conforme a la ley aplicable.

Hábitos que refuerzan todo lo anterior

Ninguna medida técnica sustituye a los buenos hábitos. Usa una contraseña única para esta cuenta, guardada en un gestor, y no la repitas en otros servicios. Mantén actualizado tu teléfono y tu navegador, y desconfía de las ofertas que llegan sin que las hayas pedido. Revisa tu historial al menos una vez a la semana y, ante cualquier duda, pregunta a tu gerente antes de actuar.