Verificar, no creer.
TrackJet está construido para que no tengas que creernos nada: los historiales están sellados, los sellos anclados públicamente, la analítica sin cookies y nuestra disponibilidad se mide en abierto por nosotros mismos.
Transparencia criptográfica
Cronologías selladas (tjvt2)
Los eventos de cada cadena rastreada se sellan en una cadena de hashes SHA-256 al registrarse — 39 sellos activos hoy. Editar, borrar o reordenar cualquier evento pasado rompe la verificación, y la rotura es la prueba.
Spec →Registro Merkle público (tjmt1)
Todas las cabeceras selladas se anclan en un historial de raíces Merkle solo-añadir (56 raíces publicadas). Las pruebas de inclusión se verifican SIN CONEXIÓN con la CLI de código abierto tjverify.
Historial de raíces (JSON en vivo) →Ingeniería de privacidad
Analítica sin cookies
Sin cookies, sin banner de consentimiento: las sesiones son un hash irreversible del lado del servidor con un salt que rota a diario y vive solo en memoria. Las query strings nunca se guardan.
Política de privacidad →Bóveda de PII + crypto-shredding
Los campos sensibles de terceros se cifran por campo (XSalsa20-Poly1305, claves fuera de la base de datos). Borrar tu cuenta destruye las claves — los datos quedan ilegibles para siempre, con recibo.
Centro de privacidad →Operaciones
Disponibilidad automedida
Un canary recorre las rutas reales de usuario las 24 horas. Últimos 30 días: 100.00%. La página de estado muestra los mismos datos que vemos nosotros.
Estado de la red →Registro de auditoría a prueba de manipulación
Las acciones de admin se sellan en su propia cadena de hashes; una fila de auditoría borrada o editada se detecta — y se recupera byte a byte desde su sello. Esto ha cazado un bug real en producción.
Cómo funciona el sellado →Simulacros de restauración, no esperanza
Los backups se restauran en una base de datos temporal cada semana y se verifican contra recuentos mínimos de filas. Un backup que nunca se ha restaurado es una esperanza, no un backup.
Esta página →Degradación a solo lectura
Durante el mantenimiento el sitio público degrada a solo lectura: el seguimiento sigue funcionando mientras las escrituras reciben un 503 amable con Retry-After — nunca una caída dura para los lectores.
Estado →Niveles de fuente
Cada evento en un timeline de TrackJet lleva una etiqueta de fuente. Esto significa cada nivel — la evidencia más fuerte primero:
| Nivel | Fuente | Qué significa | Etiqueta mostrada |
|---|---|---|---|
| L1 | API de transportista licenciada | Eventos reales del feed licenciado de un transportista (hoy: DHL Group vía UTAPI). | Fuente: DHL UTAPI |
| L2 | Importación de correo autorizada por el usuario | Eventos extraídos de los correos de estado del transportista que reenvías a tu dirección personal de TrackJet. | Fuente: Correo reenviado por el usuario |
| L3 | Timeline guardado de TrackJet | Eventos que TrackJet registró antes y almacenó en su cadena verificable a prueba de manipulación. | Fuente: Timeline en caché de TrackJet |
| L4 | Enlace oficial de seguimiento del transportista | Sin feed de eventos para este envío — te llevamos a la página oficial de seguimiento del transportista. | Fuente: Página oficial del transportista |
| L5 | Respaldo de directorio | Reconocemos el transportista pero solo expone una página de búsqueda; pega tu número allí. | Fuente: Solo redirección |
TrackJet nunca inventa eventos del transportista. Cuando no tenemos un evento real lo decimos y te llevamos a la fuente oficial — nunca inventamos un estado.
Eventos declarados: una clase aparte, no un sexto nivel
Declarado por una persona identificadaUn cargador, un transitario o un almacén puede registrar un evento que ningún feed del transportista comunica: «cargado en la rampa 4», «documentación aduanera entregada». TrackJet lo guarda con el nombre y la organización de quien lo afirma, lo sella en su propia cadena a prueba de manipulación y lo marca como declarado en todas las superficies donde aparece.
No se ordena junto a L1–L5 a propósito: esos cinco niveles responden de dónde viene un registro automático, y una declaración es otro tipo de afirmación — la palabra de una persona, con alguien que responde por ella. TrackJet nunca convierte una declaración en un evento del transportista. La API, las exportaciones, los webhooks y el pasaporte firmado llevan la clase, para que sus sistemas puedan tratarlas de forma distinta. Quien declara puede retractarse: la retirada queda registrada y el original permanece sellado.
Valores estimados: los calcula TrackJet, nunca son una observación
Estimado por TrackJetLas ventanas de llegada, las distancias de círculo máximo y las estadísticas de tránsito por ruta las calculamos nosotros a partir de los datos que tenemos. Nadie las observó. Siempre van etiquetadas: una distancia derivada de dos coordenadas se presenta como «estimada · círculo máximo», sin fingir que es un trayecto realmente recorrido o volado.
Las estadísticas de tránsito callan hasta que una ruta acumula al menos diez observaciones reales, porque una media sobre tres envíos es una suposición disfrazada de cifra. Una posición estimada nunca se presenta como GPS. Igual que los eventos declarados, las estimaciones llevan su clase por la API, las exportaciones y los webhooks, para que pueda excluirlas de cualquier informe que solo deba contener lo realmente comunicado.
Cumplimiento y recursos legales
El DPA del art. 28 del RGPD y la lista actual de subencargados están disponibles a petición en [email protected]; un paquete DPA descargable llegará con la activación de la entidad legal / facturación.
Certificaciones. TrackJet aún no posee una certificación formal SOC 2 ni ISO/IEC 27001. Los controles que una auditoría así evalúa ya están operativos y visibles arriba: alojamiento exclusivamente en la UE, cifrado en tránsito y en reposo, una cadena de auditoría a prueba de manipulaciones con raíz Merkle anclada públicamente, simulacros de restauración semanales, analítica sin cookies y una política publicada de divulgación de vulnerabilidades. Para una revisión de seguridad formal, solicita en [email protected] nuestro resumen de postura de seguridad y el DPA del art. 28.