Saltar al contenido principal

Privacidad y protección de datos

Qué datos puede manejar PlexSub​

Según la documentación del proyecto, PlexSub puede almacenar datos operativos, identidades de usuario, credenciales de integraciones, configuración de notificaciones y datos relacionados con portal de cliente.

Dependiendo de los módulos activados, también puede mostrar:

  • Estado de suscripción.
  • Historial o uso multimedia.
  • Peticiones de contenido.
  • Descargas.
  • Incidencias o soporte.
  • Referencias de pago.

Qué no debes hacer​

  • No publiques .env.
  • No compartas tokens.
  • No subas backups a sitios públicos.
  • No pegues logs completos con credenciales.
  • No uses datos reales en demos públicas.
  • No des permisos admin a usuarios que solo necesitan portal de cliente.

Cómo protege PlexSub las credenciales​

El proyecto indica que las credenciales de servicios configuradas desde Admin Settings se guardan cifradas en base de datos.

La clave importante es:

  • APP_SETTINGS_ENCRYPTION_KEY

Esa clave debe estar fuera de Git y fuera de la base de datos. Si alguien obtiene la base de datos y esa clave, el riesgo aumenta.

Qué depende del administrador​

PlexSub no puede proteger una instalación mal publicada. El administrador debe:

  • Usar HTTPS.
  • Mantener secretos fuera de Git.
  • Configurar backups seguros.
  • Limitar permisos.
  • Actualizar imágenes cuando corresponda.
  • Revisar integraciones antes de activarlas.
  • Evitar usar credenciales reales en demos.

Privacidad del cliente​

Para clientes, PlexSub ayuda a centralizar información que normalmente estaría repartida:

  • Estado de acceso.
  • Peticiones.
  • Uso.
  • Historial disponible según integraciones activas.
  • Soporte.
  • Preferencias o datos de cuenta.

Esto puede reducir mensajes manuales y capturas entre administrador y cliente, pero solo si el administrador configura bien permisos, visibilidad y proveedores.

Datos de pagos​

PlexSub puede reflejar referencias y estados de pagos o suscripciones. El proveedor de pago sigue siendo la fuente legal y contable principal.

Buenas prácticas:

  • No guardes más datos de los necesarios.
  • No pegues IDs privados de transacción en documentación pública.
  • Verifica el estado en el proveedor antes de cancelar o revocar accesos.

Demos y datos falsos​

La demo pública debe usar:

  • Datos falsos.
  • Servicios simulados.
  • Reset.
  • Sin destinos privados.
  • Credenciales demo separadas.

No conectes la demo pública a Plex, Jellyfin, proveedores de pago o correo real salvo que exista una razón controlada y documentada.

Checklist de privacidad​

  • .env fuera de Git.
  • Secretos fuertes.
  • FORCE_SECURE_COOKIES=1 en publicación HTTPS.
  • APP_BASE_URL correcto.
  • Backups cifrados o protegidos.
  • Acceso admin limitado.
  • Logs revisados antes de compartir.
  • Demo separada de producción.