01
Autenticar
Usar la sesión actual de Supabase para establecer la identidad.
Seguridad y privacidad
Qué protege la aplicación y qué sigue siendo responsabilidad de tu escuela.
Revisa los controles visibles en el producto actual, los proveedores usados para identidad y pagos, y las preguntas que todavía requieren confirmación escrita durante la compra.
Límites verificados del producto
Consulta qué verifica cada control y qué evidencia solicitar.
Estas descripciones reflejan comportamiento presente en el código actual. No representan una certificación externa.
Explorador interactivo de controles de seguridad
Pregunta sobre límites
¿Quién puede acceder a este flujo?
Supabase Auth establece la identidad de la sesión. Después, las rutas evalúan membresía escolar, permisos, relaciones aprobadas del hogar y la escuela activa antes de devolver registros o permitir una acción.
02
Autorizar
Evaluar el permiso requerido, membresía escolar o relación familiar aprobada.
03
Limitar
Validar nuevamente la escuela, hogar, línea o estudiante en solicitudes protegidas.
Evidencia útil para la revisión
- Matriz de permisos
- Demostración con dos escuelas
- Flujo de invitación y eliminación de acceso
Se abrieron los controles de identidad y acceso.
Implementación actual
Datos públicos de control, sin frases generales de mercadeo.
Identidad
Supabase Auth establece la identidad de la sesión.
Comportamiento implementado
Los flujos protegidos consultan la sesión autenticada antes de resolver el acceso.
Límite importante
Iniciar sesión no concede acceso a todas las escuelas u hogares.
Autorización
El acceso del personal usa membresía escolar y permisos.
Comportamiento implementado
Las rutas protegidas verifican la escuela activa y el permiso requerido. Las vistas familiares usan relaciones aprobadas del hogar.
Límite importante
La escuela controla quién recibe invitación, qué rol se asigna y cuándo se elimina el acceso.
Pagos
Los componentes de Stripe recopilan tarjetas y cuentas compatibles.
Comportamiento implementado
La aplicación usa referencias del proveedor, estados, montos y resúmenes seguros. Los webhooks firmados actualizan el ciclo del pago.
Límite importante
El dinero en proceso permanece separado de la billetera hasta conciliar el evento exitoso.
Auditoría y seguridad de solicitudes
Las acciones sensibles cubiertas generan evidencia por escuela.
Comportamiento implementado
La auditoría requiere permiso, devuelve metadatos redactados y admite exportación controlada. Los endpoints sensibles usan límites o idempotencia cuando corresponde.
Límite importante
La cobertura debe probarse con las acciones exactas que la escuela considera críticas.
Confirma antes de firmar
Cuatro puntos requieren respuestas escritas, no suposiciones.
La experiencia pública no reemplaza el contrato, los términos de tratamiento de datos ni las políticas de la escuela.
Respuesta a incidentes
¿A quién se contacta, cómo se define la severidad y qué tiempos de respuesta y notificación aplican?
Retención y eliminación
¿Qué registros se conservan, por cuánto tiempo, quién aprueba la eliminación y qué historial debe permanecer?
Proveedores y garantías
¿Qué subprocesadores aplican y qué informes o certificaciones vigentes pueden entregarse?
Salida del contrato
¿Qué datos pueden exportarse, en qué formato, en qué plazo y cómo se manejan los datos restantes?
Preguntas de las escuelas
Usa este resumen para comenzar la verificación, no para terminarla.
Este resumen explica comportamiento visible en la aplicación actual. No afirma una auditoría independiente, certificación, conclusión legal ni nivel contractual de servicio.
¿Esta página afirma una certificación o cumplimiento normativo?
No. Es un resumen público de límites de diseño y prácticas operativas. Las escuelas deben solicitar la documentación y evidencia necesarias para sus propias revisiones de seguridad, privacidad, asuntos legales, finanzas y adquisiciones.
¿Cashless Cafeteria almacena números completos de tarjetas o cuentas bancarias?
Los flujos de pago compatibles usan recopilación alojada por el proveedor. La aplicación trabaja con referencias del proveedor y detalles operativos limitados para estado, conciliación, soporte y visualización segura, en lugar de credenciales de pago completas.
¿Cómo se mantiene el acceso dentro de la escuela o el hogar correctos?
Los flujos protegidos evalúan la identidad autenticada junto con la membresía escolar, los permisos asignados, las relaciones aprobadas del hogar y el contexto activo. Los registros referenciados por una acción deben permanecer dentro de ese alcance autorizado.
¿Qué evidencia de seguridad debe solicitar una escuela durante la evaluación?
Solicita evidencia adecuada para cada pregunta, como una demostración del producto, definiciones de roles y permisos, comportamiento de rutas protegidas, límites de los flujos de pago, cobertura de eventos de auditoría, responsables de incidentes, procesos de retención y seguimientos definidos.
¿Qué responsabilidades de seguridad permanecen con la escuela?
Las escuelas continúan siendo responsables de decisiones como aprobar usuarios y relaciones familiares, asignar roles apropiados, retirar acceso, aplicar políticas locales, revisar excepciones e involucrar a los participantes adecuados de seguridad, privacidad, asuntos legales, adquisiciones y finanzas.
Revisa la seguridad con los flujos exactos que usará tu escuela.
Trae tus roles, estructura escolar, métodos de pago, preguntas de incidentes y requisitos de retención.