Seguridad

Cada espacio es una base de datos aparte; nada se comparte. Ciframos en tránsito y en reposo y damos el menor acceso necesario para trabajar.

Cumplimos la LOPDP del Ecuador y el RGPD cuando aplica. Todavía no tenemos certificaciones, ni SOC 2 ni ISO 27001, y no las anunciamos hasta obtenerlas.

Los informes de seguridad y las respuestas a cuestionarios se entregan a clientes bajo acuerdo de confidencialidad.

La superficie HTTP vive en el API; el panel del usuario renderiza sin llamadas al API. La autenticación es Better Auth self-hosted, con MFA y passkeys.

Cada espacio tiene su propia base de datos en Turso, así que el aislamiento es físico y no una fila entre miles. Los respaldos van a Backblaze B2.

Sesiones por cookie para la web, tokens Bearer para móvil y agentes, y verificación en el servidor en cada acción. Lo que se pinta es cortesía; lo que se corta es la acción.

La inferencia se ejecuta en proveedores externos. No entrenamos modelos con tus datos, y un agente no ve a otro ni a su dueño.

Recogemos lo mínimo, que es identidad, consumo y lo que tú subes. Puedes pedir acceso, corrección y supresión, y lo guardamos mientras tengas cuenta.

Roles por espacio (dueño, admin, miembro) y claves de API por empresa. Los secretos de terceros son write-only, guardados cifrados y nunca devueltos.

Todo gestionado, sin servidores propios. Cada proveedor de abajo cumple una función, y nada tuyo se comparte más allá de ella.

Todo el tráfico va por TLS. Los webhooks salientes salen firmados y los tokens de acceso se emiten on-demand y expiran.

Políticas de seguridad, uso aceptable y respuesta a incidentes, publicadas junto a los términos y condiciones.

Un incidente se investiga, se contiene y se comunica a los afectados según la ley y los plazos contractuales.

El riesgo se revisa por diseño, y el cobro es prepago por créditos, así que no hay postpago ni deuda acumulada.

Respaldos cifrados en B2 y una base independiente por cliente, así que el fallo de un espacio no arrastra al resto.

Todo cambio pasa por pull request, validación en pre-commit y pruebas; el despliegue se hace por Vercel CLI.