Seguridad desde el diseño

Cómo protegemos tu centro y a tus jugadores

Esta página describe cómo funciona la plataforma hoy: las protecciones integradas en nuestro servidor, en el cliente del PC y en el receptor de tu red.

Las decisiones, en nuestro servidor

La facturación y el acceso se deciden en la nube. El cliente del PC y el receptor de tu red solo ejecutan instrucciones firmadas.

Detalles

Protección de cuentas

Inicio de sesión robusto para propietarios y personal, con control total de sesiones y dispositivos.

Detalles

Cifrado y pagos

El tráfico va cifrado en tránsito y los secretos sensibles se cifran en reposo.

Detalles

Mínimo de datos

Recogemos lo necesario para que funcione tu centro, y nada sobre lo que los jugadores navegan en internet.

Detalles

Control para los jugadores

Los jugadores pueden recuperar su cuenta de forma segura y elegir qué mensajes reciben.

Detalles

Conservación y limpieza automática

Las tareas de limpieza se ejecutan automáticamente en nuestro servidor y eliminan los datos operativos según estos plazos.

Detalles

Las decisiones, en nuestro servidor

La facturación y el acceso se deciden en la nube. El cliente del PC y el receptor de tu red solo ejecutan instrucciones firmadas.

Los precios, el tiempo de sesión, los saldos y los límites de la suscripción se calculan en nuestro servidor, no en el PC de juego.
Cada respuesta que desbloquea un PC o ejecuta un comando se firma con HMAC-SHA256 usando el secreto propio de ese PC y un valor nuevo de un solo uso enviado por el cliente. El cliente rechaza cualquier respuesta con una firma incorrecta.
Cuando las solicitudes pasan por el receptor de tu red local, el PC no envía su token de sesión. Envía una prueba ligada a su dirección MAC y a un nonce de un solo uso, y un nonce repetido se rechaza.
El secreto del dispositivo se guarda en el PC cifrado con Windows DPAPI.
La carpeta de instalación del cliente es solo de lectura y ejecución para las cuentas de jugadores, y los secretos del dispositivo solo son accesibles para Administrators y SYSTEM.
Los servicios locales del receptor solo aceptan conexiones desde direcciones de red privada.

Protección de cuentas

Inicio de sesión robusto para propietarios y personal, con control total de sesiones y dispositivos.

Las contraseñas se guardan como hashes bcrypt, nunca en texto plano.
Verificación en dos pasos para propietarios y cajeros: app de autenticación (TOTP), 10 códigos de respaldo de un solo uso guardados como hashes y llaves de acceso (passkeys).
El propietario puede exigir la verificación en dos pasos para su cuenta o para todo el personal, y permitir dispositivos de confianza durante 30 días.
Consulta cada sesión activa y cada dispositivo de confianza, cierra una o todas, y revisa el registro de seguridad de tu centro.
Los intentos fallidos de inicio de sesión están limitados por cuenta y por dirección IP, y los códigos erróneos repetidos bloquean la cuenta durante 15 minutos.
Detrás de Cloudflare usamos la IP real del visitante e ignoramos las cabeceras de reenvío que un visitante podría falsificar, así que los límites no se pueden saltar con direcciones falsas.
Nuestro panel de administración exige la verificación en dos pasos al administrador principal, pide confirmar de nuevo antes de acciones sensibles, cierra las sesiones inactivas y anota cada cambio en un registro de auditoría de solo adición.

Cifrado y pagos

El tráfico va cifrado en tránsito y los secretos sensibles se cifran en reposo.

Todas las conexiones usan HTTPS y se indica a los navegadores que usen siempre HTTPS (HSTS).
Las claves de las pasarelas de pago, los secretos de la verificación en dos pasos y las contraseñas guardadas de cuentas de juego se cifran en la base de datos con Fernet (AES con HMAC).
Las contraseñas de las cuentas de juego nunca se muestran en el panel. Solo se envían a un PC con una sesión activa, cifradas de nuevo con una clave derivada del secreto de ese PC y de ese préstamo concreto.
Los jugadores pagan en línea en la propia página de la pasarela de pago. Los números de tarjeta nunca pasan por nuestros servidores ni se guardan en ellos.
Las notificaciones web push van cifradas para que el servicio push no pueda leerlas, y solo llevan un título, un texto breve y un enlace dentro de la app.
Los recibos digitales se abren con un enlace aleatorio imposible de adivinar, no con un número correlativo.

Mínimo de datos

Recogemos lo necesario para que funcione tu centro, y nada sobre lo que los jugadores navegan en internet.

De los PC de juego: nombre del equipo, dirección MAC, componentes de hardware y sus números de serie (para detectar piezas cambiadas o retiradas), estado, temperatura y uso de recursos, y los juegos y apps iniciados desde el cliente.
La monitorización de internet solo cuenta los bytes descargados y subidos: sin sitios web, direcciones ni historial de navegación.
La vista en directo de la pantalla de un PC solo se captura cuando el personal la solicita desde el panel.
Los datos del jugador son los que introduce el centro o aporta el jugador: nombre, usuario, teléfono o correo, saldo, sesiones y compras.
Los datos de cada centro están separados de los demás centros, el personal solo ve lo que su rol permite y nunca vendemos datos.

Control para los jugadores

Los jugadores pueden recuperar su cuenta de forma segura y elegir qué mensajes reciben.

El jugador puede restablecer su contraseña por sí mismo con un correo verificado, Telegram, una llave de acceso o un código de un solo uso del cajero, que lo verifica en persona. Los códigos caducan pronto y solo funcionan una vez.
El formulario de restablecimiento responde igual exista o no la cuenta, así que nadie puede usarlo para descubrir cuentas.
Tras un cambio de contraseña se cierra la sesión en todos los demás dispositivos y se eliminan las suscripciones push.
Las notificaciones push promocionales requieren el consentimiento explícito del jugador (desactivadas por defecto) y tienen un límite diario por centro.
El jugador puede desactivar las ofertas en la app en cualquier momento; a partir de entonces no recibe mensajes de campañas por ningún canal.
Para solicitar la exportación o eliminación de datos, contáctanos.

Conservación y limpieza automática

Las tareas de limpieza se ejecutan automáticamente en nuestro servidor y eliminan los datos operativos según estos plazos.

Datos	Se conservan
Mensajes de chat entre el personal y los PC	7 días
Comandos de dispositivo completados	7 días
Archivos eliminados de la biblioteca multimedia	7 días tras eliminarlos
Archivos temporales de importación de clientes	24 horas
Cola de envío de web push	14 días
Cola de notificaciones al propietario	30 días
Alertas de estado de equipos resueltas	30 días
Consumo de internet por hora y por PC	90 días, luego totales diarios durante 2 años
Historial de cambios de hardware	1 año
Sesiones de inicio caducadas	1 día después de caducar

Preguntas frecuentes

¿Qué informa el cliente sobre los jugadores?

El hardware, el estado, los juegos y apps iniciados desde el cliente y los bytes de internet consumidos. No recoge sitios web, historial de navegación ni archivos personales.

¿Puede alguien en la red local desbloquear un PC sin pagar?

Las respuestas de desbloqueo y de comandos se firman con un secreto único de cada PC y un valor de un solo uso. El cliente rechaza una respuesta falsificada o repetida.

¿Guardan números de tarjeta?

No. Los pagos en línea se completan en la propia página de la pasarela; solo registramos el importe, el método y la referencia de la transacción.

¿Quién puede ver los datos de mi centro?

Tú y el personal que añadas, dentro de los permisos que les des. Los datos están separados entre centros y nunca se venden.

¿Cómo pido la exportación o eliminación de datos?

Contáctanos por Discord, Telegram o la página de contacto y gestionaremos la solicitud.

Informar de un problema de seguridad

¿Has encontrado una vulnerabilidad? Cuéntanoslo en privado por nuestros canales de soporte y la investigaremos y corregiremos.

Describe el problema y los pasos para reproducirlo.
No accedas, cambies ni borres datos de otras personas, ni interrumpas el servicio.
Danos un tiempo razonable para corregirlo antes de publicar los detalles.

Informar en Discord Informar en Telegram Todas las vías de contacto

Esta página describe las protecciones integradas hoy en ArenaOS. No es una certificación ni una garantía contractual; los detalles legales están en la Política de privacidad y en los Términos de uso. Política de privacidad · Términos del servicio