--- title: "Seguridad, propiedad y accesos: cuentas, código y datos" description: "De quién es el código y el diseño, a nombre de quién quedan las cuentas, cómo se dan y retiran accesos y cómo Dardo maneja datos, NDA y entrega." url: "https://dardo.studio/es/seguridad/" language: "es" translations: {"en":"https://dardo.studio/en/security/","pt":"https://dardo.studio/pt/seguranca/"} updated: "2026-10-22T12:00:00Z" --- Seguridad, propiedad y accesos # Seguridad, propiedad y accesos: cómo manejamos tu trabajo y tus datos Para quien revisa proveedores en compras, legal o TI: de quién es el trabajo, a nombre de quién quedan las cuentas, cómo damos y retiramos accesos y cómo tratamos los datos personales. Por [Nicolás Cerón](https://dardo.studio/es/nicolas-ceron/) · Actualizado 22 oct 2026 · 10 min de lectura [Pedir una propuesta](https://dardo.studio/es/contacto/) ## Resumen para el formulario de proveedores Cada respuesta se explica más abajo. - Dardo es un estudio de diseño y desarrollo liderado por su fundador, en Bogotá, Colombia (UTC−5 todo el año), fundado en 2026. Somos tres personas, con Nicolás Cerón a la cabeza, y trabajamos en inglés y español. - Todo proyecto empieza con una propuesta escrita que nombra a las personas, el alcance, el precio y la propiedad. También dice cómo se acepta cada entregable y quién es dueño de cada cuenta y archivo al entregar. - El diseño y el código a medida que pagas son de tu empresa. Fuentes, imágenes de stock, plugins y librerías de código abierto siguen bajo su propia licencia. - Hosting, dominio, DNS, CMS, analítica, repositorio de código y cuentas de envío de correo quedan a nombre de tu empresa. A nosotros nos invitas como usuarios. - Cada persona tiene su propio usuario, con el rol más bajo que le permite hacer el trabajo y sin contraseñas compartidas. Al entregar, retiras esos accesos o los mantienes con un plan de mantenimiento. - Los datos de producción y los registros de clientes se quedan en tus sistemas. Solo pedimos el acceso que una tarea necesita. - No tenemos informe SOC 2 ni certificación ISO 27001. ## De quién es el trabajo y desde cuándo El diseño y el código a medida que pagas deben ser de tu empresa, y el contrato debe decirlo. Antes de empezar, nuestra propuesta establece de quién son el código y los archivos de diseño, y qué dependencias siguen con licencia propia. Revisa que el contrato incluya: - La cesión a tu empresa de los derechos patrimoniales de autor sobre los archivos de diseño, el código fuente y la documentación - El momento en que pasa la propiedad; lo habitual es al pago final - Lo que sigue con licencia y no se cede: fuentes, imágenes de stock, plugins y librerías de código abierto - La ley aplicable y dónde se resuelven las disputas Esto es información general, no asesoría legal: pide que tu abogado revise la cláusula. Qué trae cada propuesta, con sus etapas de pago y costos recurrentes, está en nuestra página de [precios](https://dardo.studio/es/precios/). ## Cuentas a tu nombre y accesos por persona Toda cuenta de la que depende el sitio debe ser de tu empresa, y a Dardo la invitas como usuario. Es nuestra regla de entrega: hosting, dominio, DNS, CMS, analítica, repositorio de código y cuentas de envío de correo van a nombre de tu empresa. Si todavía no lo están, pasarlas es la primera tarea. Los costos recurrentes de terceros, como dominio, hosting, planes de CMS o licencias de fuentes, van en la propuesta como líneas separadas, al precio de cada proveedor. Terminar un proyecto con nosotros nunca significa perder el acceso a tu propio sitio. Así funcionan los accesos: - Pedimos solo el acceso que la tarea necesita, como invitaciones a usuarios propios: uno por persona, nunca una contraseña compartida. - Cada usuario recibe el rol más bajo que le permite hacer el trabajo. Algunas tareas piden más: una migración necesita acceso de administrador al CMS actual, al registrador del dominio y al DNS, al hosting, a Search Console y a la analítica. - Activa la autenticación multifactor, empezando por las cuentas de administrador. La CISA, la agencia de ciberseguridad de Estados Unidos, considera los métodos resistentes al phishing, como las llaves de seguridad FIDO, el estándar de referencia, y advierte que los códigos por SMS son vulnerables al phishing y al robo del número (SIM swap). - Como las cuentas son tuyas, puedes quitarnos el acceso tú mismo. Al entregar, lo retiras o lo mantienes con un [plan de mantenimiento web](https://dardo.studio/es/servicios/mantenimiento-web/). ## Acuerdos de confidencialidad (NDA) y reserva Si necesitas un acuerdo de confidencialidad, va en el contrato, junto con la ley aplicable y el lugar donde se resuelven las disputas. Qué modelo se usa, y si podemos mostrar el proyecto en nuestro portafolio, se acuerda en la propuesta o en el contrato. El material confidencial puede quedarse en tus herramientas: podemos trabajar en tu Slack, tu gestor de proyectos o tu organización de GitHub, para que los archivos y el historial se queden contigo. Los datos de producción y los registros de clientes se quedan en tus sistemas. ## Dónde están los archivos, los mensajes y las consultas - Código: en un repositorio a nombre de tu empresa. - Diseños y revisiones: en un enlace de staging o en comentarios de Figma. La propuesta dice de quién es cada archivo al entregar. - Decisiones: la propuesta, el alcance, los criterios de aceptación, las decisiones de cada revisión y las notas de entrega quedan por escrito. - Correo: la bandeja de Gmail del estudio, en Google Workspace. - Consultas enviadas desde nuestro sitio: una base de datos privada Cloudflare D1, con una copia que llega al Gmail del estudio mediante Cloudflare Email Service. El acceso es por la cuenta de Cloudflare del estudio, y la base de consultas no guarda direcciones IP. En nuestro propio sitio, Google Analytics y PostHog, en su nube de Estados Unidos, miden las visitas de forma predeterminada. Los eventos excluyen nombres, correos, referencias de consultas, contenido de formularios y parámetros completos de URL. Las grabaciones de sesión enmascaran lo que se escribe, excluyen los formularios y se conservan 30 días. Las cookies publicitarias, los anuncios personalizados y el remarketing están desactivados. Configurar cookies, en el pie de página, apaga la analítica, y Do Not Track y Global Privacy Control la mantienen apagada. Si llegas desde un anuncio de Google o Microsoft, la consulta guarda el identificador de ese clic, y le informamos a la plataforma, solo con ese identificador, si el clic terminó en una consulta o en un proyecto, con el valor del proyecto. Tu nombre, tu correo y tu brief nunca van a una plataforma publicitaria. Para saber qué datos tenemos, corregirlos o pedir que los borremos, escríbenos; nuestra [política de privacidad](https://dardo.studio/es/privacidad/) tiene la dirección y todo el detalle. ## Datos personales en el sitio que construimos para ti En tu sitio, tu empresa decide qué piden los formularios y adónde va cada envío. Formularios, analítica e integraciones envían datos a cuentas de tu empresa, y los servicios externos, como CRM, reservas, pagos o envío de correo, van en la propuesta como líneas propias. Si tu empresa está en Colombia, la Ley 1581 de 2012 llama responsable del tratamiento a quien decide sobre la base de datos y su tratamiento, y encargado a quien trata los datos por cuenta del responsable. Si una tarea exige manejar datos personales de tu empresa, como importar una base de clientes o conectar un CRM, el contrato debe decir qué podemos hacer con ellos, por cuánto tiempo y cómo se devuelven o se eliminan. Cuando migramos o rediseñamos un sitio, formularios, analítica, consentimiento e integraciones se rehacen y se prueban, y se revisa el destino de cada envío. Los [eventos de analítica, las conversiones y el banner de consentimiento](https://dardo.studio/es/servicios/configuracion-de-analitica-web/) se verifican en las plantillas nuevas antes del lanzamiento. ## Herramientas de IA, revisiones y quién aprueba lo que se publica Qué herramientas de IA se pueden usar en tu proyecto, y qué pueden ver, se acuerda en la propuesta o en el contrato. Si tu empresa tiene una política sobre IA, envíala con tu brief. Las personas que nombra la propuesta hacen el trabajo, y hablas directamente con ellas, incluido el fundador. Cada entregable se acepta según los criterios que fija la propuesta. Las revisiones se hacen en un enlace de staging o en comentarios de Figma, y las decisiones de cada revisión quedan por escrito. En una [migración de página web](https://dardo.studio/es/servicios/migracion-de-pagina-web/), el sitio nuevo se construye en una dirección de staging marcada para que los buscadores no la indexen, y el sitio actual sigue funcionando hasta un cambio planificado. Alguien de tu lado aprueba las redirecciones de páginas con peso comercial o legal, como políticas o fichas de producto. ## Lo que Dardo no es - No estamos certificados: no tenemos informe SOC 2 ni certificación ISO 27001. - No somos una empresa estadounidense. Si tu proceso de compras exige una entidad legal en Estados Unidos, certificados de seguros específicos o informes de auditoría de seguridad, pregúntalo al inicio: es posible que no los cumplamos. - No somos una empresa de outsourcing de personal: entregamos proyectos con alcance definido y no ubicamos desarrolladores bajo la dirección diaria de tus gerentes. - No somos un equipo grande: tres personas no pueden absorber de golpe el doble de alcance ni sostener un programa de un año que necesita diez. El estudio se fundó en 2026, así que júzganos por los [proyectos publicados](https://dardo.studio/es/proyectos/) y por lo que la propuesta compromete por escrito. Si tus requisitos nos dejan por fuera, preferimos decírtelo en nuestra primera respuesta antes que enviarte una propuesta que no encaja. ## Qué pasa en la entrega final - Todas las cuentas confirmadas a nombre de tu empresa: hosting, dominio, DNS, CMS, analítica, repositorio y envío de correo. - Nuestros accesos retirados, salvo que los mantengas con un plan de mantenimiento. - Notas de entrega por escrito. - Después de una migración: la lista de redirecciones, para que cualquier desarrollador pueda mantenerla; el DNS y las cuentas entregados, y la fecha para cancelar cada plan anterior, para que nada se renueve ni venza por sorpresa. - El hosting anterior se cancela solo cuando el sitio nuevo responde en cada URL, tienes una exportación y una copia de seguridad completas, y ninguna redirección depende de él. El dominio sigue siendo tuyo. Si quieres que sigamos, el mantenimiento empieza en USD 79 al mes: monitoreo de disponibilidad, SSL, dominio y formularios; copias de seguridad con pruebas de restauración; actualizaciones urgentes de seguridad y un informe mensual. Los tiempos de respuesta se definen después de una auditoría inicial. ## Preguntas antes de elegir **¿Dardo tiene SOC 2 o ISO 27001?** No. No tenemos informe SOC 2 ni certificación ISO 27001. Si tu proceso exige alguno, o certificados de seguros específicos o informes de auditoría de seguridad, dínoslo antes de la propuesta: es posible que no los cumplamos, y otra agencia puede encajar mejor. **¿De quién son el código y los diseños al terminar?** De tu empresa: el diseño y el código a medida que pagas. Antes de empezar, la propuesta establece de quién son el código, los archivos de diseño y las dependencias con licencia, y el contrato fija cuándo pasa la propiedad, por lo general al pago final. Fuentes, imágenes de stock, plugins y librerías de código abierto siguen bajo su licencia. **¿Podemos firmar un acuerdo de confidencialidad?** Sí. Si lo necesitas, el NDA va en el contrato, junto con la ley aplicable y el lugar donde se resuelven las disputas. Qué modelo se usa se acuerda antes de firmar. **¿Necesitan acceso de administrador a nuestros sistemas?** Solo si la tarea lo exige. Pedimos un usuario por persona, con el rol más bajo que permite hacer el trabajo, nunca una contraseña compartida. Una migración sí necesita acceso de administrador al CMS actual, al registrador del dominio y al DNS, al hosting, a Search Console y a la analítica. Al entregar, retiras nuestro acceso. **¿Cómo se manejan las herramientas de IA en el proyecto?** Qué herramientas de IA se pueden usar, y qué pueden ver, se acuerda en la propuesta o en el contrato; envía la política de tu empresa con el brief. Cada entregable se acepta según criterios escritos en la propuesta, y las personas que aparecen ahí son las personas con las que hablas. **¿Dónde quedan guardados nuestros datos?** Los datos de producción y los registros de clientes se quedan en tus propios sistemas. Lo que envías por nuestro formulario de contacto se guarda en una base privada Cloudflare D1, con una copia en el Gmail del estudio. La analítica de nuestro sitio usa Google Analytics, la nube de PostHog en Estados Unidos y Cloudflare Web Analytics, y excluye nombres, correos y contenido de formularios. **¿Qué pasa si dejamos de trabajar juntos?** Las cuentas están a nombre de tu empresa, así que terminar el proyecto nunca significa perder el acceso a tu propio sitio. Retiras nuestros usuarios, y la entrega incluye notas escritas y, después de una migración, la lista de redirecciones, para que cualquier desarrollador pueda mantenerla. ## Fuentes y lecturas Fuentes de esta página, con más detalles de sus publicaciones originales. - [CISA: Implementing Phishing-Resistant MFA (en inglés)](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf) · cisa.gov - [Función Pública: Ley 1581 de 2012, protección de datos personales](https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=49981) · funcionpublica.gov.co [Dardo](https://dardo.studio/es/) · Seguridad, propiedad y accesos ## Trae tus requisitos desde el inicio Envía tu lista de requisitos de proveedor con el brief. Si algo nos deja por fuera, preferimos decírtelo en la primera respuesta antes que enviarte una propuesta que no encaja. [01 · **Qué incluye una propuesta** · Precios publicados, costos recurrentes y dueño de cada cuenta](https://dardo.studio/es/precios/) · [02 · **Cómo tratamos los datos** · Consultas, analítica y solicitudes de eliminación](https://dardo.studio/es/privacidad/) · [03 · **Envía tu brief** · Tu proyecto y tus requisitos, directo a Dardo](https://dardo.studio/es/contacto/)