Nuestro principio: cero custodia de fondos
Odds no es una casa de apuestas. Tu plata vive en tu cuenta de BetPlay, DoradoBet, RushBet o donde la tengas. Nosotros somos el asistente que te ayuda a operar mejor — pero nunca tomamos custodia de tu dinero.
Cómo protegemos tus credenciales
Cifrado en reposo
Tus credenciales y Bearers viven en Redis cifrados con AES-256-GCM. La clave de cifrado se rota periódicamente. Nunca quedan en logs, ni en backups planos.
Cifrado en tránsito
Todo el tráfico va por TLS 1.3. Certificados gestionados por Cloudflare. HSTS forzado. Sin downgrade posible a HTTP.
El Bearer del sportsbook
Cuando vinculas tu cuenta de BetPlay (por ejemplo), tu navegador captura el Bearer token directamente desde el login del sportsbook. Ese Bearer es tuyo — funciona igual que si abrieras tu app oficial de BetPlay.
Lo guardamos cifrado, ligado únicamente a tu número de teléfono, y se renueva cada 50 minutos vía el endpoint legítimo del sportsbook. Si tú nos pides que olvidemos tu vínculo, el Bearer se elimina y la sesión se invalida.
Cómo placeas apuestas
El POST de tu apuesta sale desde tu propio navegador al sportsbook. Nuestro servidor solo prepara el cupón y te genera un link para confirmar. Por diseño:
- Es tu IP residencial la que se conecta al sportsbook.
- Es tu Bearer el que autoriza la apuesta.
- Es tu confirmación la que ejecuta.
Esto significa que para el sportsbook, tu apuesta luce idéntica a una que harías desde su app oficial. Y significa que nunca operamos sin tu consentimiento explícito.
Cómo manejamos un breach
Si detectamos cualquier compromiso de seguridad:
- Invalidamos todos los Bearers afectados en menos de 15 minutos.
- Notificamos a los usuarios afectados por WhatsApp y correo en menos de 24 horas.
- Reportamos a Coljuegos y a la SIC (Habeas Data) en los plazos legales exigidos.
- Publicamos un post-mortem público en menos de 7 días.
Auditorías y pruebas externas
Antes de pasar de 10K usuarios activos, ejecutaremos una primera auditoría externa de seguridad con una firma reconocida. Los resultados se publicarán acá.
Cuando lleguemos a 25K usuarios, abriremos un programa de bug bounty público.
Reportes responsables
Si encontraste una vulnerabilidad, escríbenos a seguridad@odds.lat. Respondemos en menos de 48 horas. Nunca demandamos a investigadores que actúen de buena fe.
Permisos que pedimos
Odds nunca pide más permisos de los que necesita:
- Tu número de WhatsApp para conversar contigo.
- Tus credenciales de cada sportsbook que vincules (con consentimiento).
- Acceso a la información que tu cuenta del sportsbook expone vía API (saldos, tickets, freebets).
No pedimos:
- Acceso a tu cuenta bancaria.
- Tarjetas de crédito.
- Datos de identidad sensibles más allá de los que ya pasaste KYC con tu sportsbook.