La seguridad en Nexora Calvarix combina medidas de la plataforma, controles que tú activas y hábitos que te recomendamos. Aquí describimos cada una de las nueve áreas que protegen tu cuenta, para que sepas qué hacemos nosotros y qué te toca a ti.
Además de tu contraseña, la plataforma te pide un código temporal generado por una aplicación autenticadora o enviado a tu correo. Recomendamos la aplicación autenticadora porque no depende de la red del teléfono ni puede interceptarse con un cambio de SIM.
Activarla es altamente recomendable y la solicitaremos para retirar fondos y para cambiar datos sensibles. Si pierdes el acceso al segundo factor, la recuperación pasa por la verificación de identidad descrita más abajo.
Guarda los códigos de respaldo que se generan al activarla, de preferencia impresos o en un gestor de contraseñas, y no en la misma cuenta de correo que usas para entrar.
2. Cifrado de la información
Las comunicaciones entre tu navegador y la plataforma viajan cifradas con TLS, el mismo estándar que protege la banca en línea. Los datos personales y los documentos de verificación se almacenan cifrados y solo accede a ellos el personal que los necesita para su función.
El cifrado se aplica a la transmisión y al almacenamiento. Los servidores, las bases de datos y las copias de respaldo quedan bajo la responsabilidad del equipo de seguridad de la información, que revisa los permisos con regularidad.
Las claves de cifrado se gestionan por separado de los datos que protegen, y los accesos de administración exigen verificación en dos pasos y quedan registrados.
3. Protección contra fraude y phishing
Nuestro único dominio oficial es nexoracalvarix-ai.com.mx y nuestros correos salen de direcciones con ese dominio. Si recibes un mensaje desde otro dominio, un enlace acortado o una llamada que te pide códigos, es una suplantación.
Puedes configurar un código de seguridad personal que aparecerá en los correos auténticos. Nunca pedimos contraseñas, códigos de verificación ni llaves API por teléfono, mensaje o redes sociales. Más detalles en la advertencia de fraude.
Ante cualquier duda, no pulses el enlace del mensaje: entra escribiendo la dirección del sitio en tu navegador y revisa si el aviso aparece también en tu cuenta.
4. Notificaciones de inicio de sesión
Cada vez que alguien entra a tu cuenta desde un dispositivo o ubicación nueva, te enviamos un aviso por correo con la fecha, la hora y el tipo de dispositivo. Si no reconoces el acceso, puedes cerrar todas las sesiones y cambiar tu contraseña desde el mismo mensaje.
También te avisamos de actividad que nos parezca sospechosa, como intentos repetidos con contraseñas incorrectas o cambios de configuración poco habituales.
Las alertas se envían a la dirección de correo verificada de tu cuenta, por lo que conviene proteger ese correo con su propia verificación en dos pasos.
5. Gestión de dispositivos y sesiones
En tu perfil ves las sesiones activas con su dispositivo, navegador y ubicación aproximada, y puedes revocar el acceso de cualquiera con un clic. La plataforma cierra automáticamente las sesiones inactivas después de un tiempo para reducir el riesgo en equipos compartidos.
Si usas una computadora que no es tuya, cierra sesión al terminar y no marques la casilla de recordar dispositivo.
Revisar la lista de sesiones una vez al mes es un buen hábito: si ves un dispositivo que ya no usas, revócalo.
6. Recuperación de la cuenta
Si olvidas tu contraseña, puedes restablecerla con un enlace enviado a tu correo registrado. Si además perdiste el acceso al segundo factor o al correo, soporte te pedirá verificar tu identidad con los documentos del proceso KYC y una prueba de vida antes de restablecer el acceso.
Por seguridad, después de una recuperación pueden aplicarse límites temporales en los retiros, y no existe ninguna vía para saltarse la verificación, ni siquiera a petición del propio titular por teléfono.
Para acelerar el trámite, ten a la mano tu identificación oficial vigente, tu correo de registro y, si es posible, la fecha y el monto de tu último depósito.
7. Permisos de las llaves API
Al conectar tu exchange eliges qué puede hacer la llave: leer saldos y posiciones, operar, o retirar fondos. La plataforma necesita solo los dos primeros permisos y te recomendamos nunca activar el permiso de retiro, de modo que nadie pueda mover tus fondos fuera del exchange aunque la llave se filtrara.
Siempre que tu exchange lo permita, limita la llave a las direcciones IP que te indiquemos. Si sospechas que quedó expuesta, revócala en el exchange y genera una nueva.
No reutilices una misma llave en otros servicios ni la envíes por correo o mensajería: debe vivir solo en tu exchange y en la conexión de tu cuenta.
8. Historial de auditoría
Tu cuenta guarda un registro de los inicios de sesión, las conexiones de exchange, los cambios de estrategia y los ajustes de configuración, con fecha, hora y dispositivo. Puedes consultarlo en cualquier momento desde el panel.
Este historial sirve para detectar movimientos que no hiciste y para reconstruir qué ocurrió si hay una aclaración. También nos ayuda a investigar incidentes y a atender solicitudes de autoridades competentes.
Los registros se conservan de manera íntegra, sin que el usuario pueda borrarlos, para que sirvan como evidencia confiable cuando haga falta.
9. Soporte ante incidentes
Si detectas un acceso no autorizado, una operación que no reconoces o un mensaje sospechoso, escribe de inmediato a [email protected] con el asunto «Incidente de seguridad». Puedes bloquear tu cuenta tú mismo desde el panel o pedirnos que lo hagamos, y el bloqueo suspende de inmediato las operaciones y los retiros.
Después, el equipo de seguridad revisa el caso, te pide la información necesaria y, si hace falta, escala a los responsables de cumplimiento. Te mantenemos informado por correo en cada etapa y, en caso de afectaciones a tus datos personales, notificamos conforme a la ley.
Después de cerrar un incidente, hacemos una revisión para entender qué pasó y qué medida debemos reforzar, y te contamos las recomendaciones que te tocan a ti, como cambiar contraseñas o rotar llaves API.
Lista rápida de buenas prácticas
Activa la verificación en dos pasos con una aplicación autenticadora.
Usa una contraseña única de al menos 14 caracteres y guárdala en un gestor.
Crea las llaves API solo con permiso de lectura y operación, nunca de retiro.
Revisa una vez al mes tus sesiones activas y tu historial de acceso.
Entra siempre escribiendo la dirección del sitio, nunca desde enlaces de mensajes.
Si algo te parece raro, escríbenos antes de actuar.
Si administras la cuenta desde un teléfono, mantén actualizado el sistema operativo y la aplicación autenticadora, bloquea la pantalla con un código o con biometría, y evita conectarte a redes Wi-Fi públicas sin protección. Estas precauciones, aunque sencillas, bloquean muchos de los ataques más comunes contra cuentas de usuarios.
Ninguna medida elimina el riesgo por completo. Tu parte es mantener contraseñas únicas, el segundo factor activo y las llaves API con el mínimo de permisos. Las medidas contra el fraude se complementan con la política KYC y PLD y con la política de privacidad.