Seguridad
Cómo protegemos sus datos
Seguridad en una Mirada
- 1La retención cero de documentos minimiza la superficie de ataque
- 2Encriptación específica del cliente - tus claves únicas protegen tus datos
- 3Rotación automática de claves después de cada ejecución de procesamiento
- 4Tecnología avanzada de procesamiento - algoritmos propietarios, sistemas de señal y servicios de IA de terceros certificados SOC 2 Tipo I y Tipo II
- 5Enfoque en calidad de datos - garantizando precisión y calidad de datos mediante validación multicapas
- 6Todos los datos están encriptados durante todo el proceso
- 7Seguridad de conocimiento cero - incluso si los servidores se ven comprometidos, tus datos permanecen encriptados
- 8Tú controlas tus datos - almacenados en tus Google Drive
- 9Uso informativo únicamente - análisis de precisión de datos, no asesoramiento financiero
- 10Conforme a GDPR, CCPA, FCRA, ECOA
Arquitectura de seguridad primero
Diseñado para la privacidad y la seguridad
Sin retención de documentos
Tus documentos NO se almacenan en nuestros servidores. Los documentos se procesan en tiempo real durante cada ejecución de procesamiento, luego se eliminan inmediatamente. Esto elimina el mayor vector de ataque: datos de documentos almacenados. Los resultados del procesamiento se encriptan con tus claves específicas del cliente y se almacenan en tus Google Drive AppData
Procesamiento sin estado
Cada API solicitud es independiente. No se persisten datos de sesión más allá de la solicitud activa. Superficie de ataque mínima.
Aislamiento de solicitud
Las versiones Profesional y Empresarial utilizan instancias dedicadas con aislamiento de red para prevenir la fuga de datos entre clientes.
Datos en tránsito
Encriptación HTTPS/TLS
Todas las solicitudes API y respuestas están encriptadas con TLS 1.3. No se acepta tráfico HTTP sin cifrar
Certificados SSL
Certificados SSL válidos de autoridades de certificación de confianza. Renovación y monitoreo automáticos.
API Seguridad
API claves transmitidas a través de encabezados seguros. La limitación de tasa previene abusos y ataques DoS
Autenticación y Autorización
OAuth 2.0
Google OAuth para autenticación de usuarios. Nunca almacenamos contraseñas. OAuth tokens cifrados con AES-256.
Sesiones Seguras
Cookies de sesión con banderas httpOnly y seguras. Expiración de 7 días con refresco automático. Protección CSRF habilitada.
API Gestión de Claves
Las claves API están hasheadas antes de ser almacenadas. Rota las claves en cualquier momento desde el panel. Las claves se limitan a permisos específicos.
Autenticación Multi-Factor
MFA disponible para cuentas de nivel Enterprise. El 2FA de Google protege todos los inicios de sesión OAuth.
Datos en reposo
Arquitectura de cifrado específica del cliente
Documentos
NO se almacenan en nuestros servidores. Eliminados inmediatamente después del procesamiento. Retención cero de documentos.
Resultados de procesamiento
Cifrados con tus claves específicas del cliente y almacenados en tu AppData Google Drive. No podemos acceder a tus datos cifrados sin tus permisos OAuth.
Claves de cifrado
Las claves específicas del cliente se almacenan en tu AppData Google Drive. Se rotan automáticamente después de cada ejecución de procesamiento. Se descartan las claves antiguas.
Datos de cuenta
Correo electrónico, nombre, ID de cliente Stripe almacenados en base de datos cifrada. Cifrado AES-256 en reposo.
Tokens OAuth
Los tokens de actualización Google OAuth están cifrados con AES-256 antes del almacenamiento. Los tokens de acceso se conservan en memoria solo durante las operaciones de sincronización de Drive.
Registros
Los registros de errores y métricas de uso no contienen contenido del documento. Se retienen por máximo 30 días. Cifrados en reposo.
Seguridad de Terceros
Stripe (Procesamiento de pagos)
Certificado PCI DSS Nivel 1. Nunca vemos números de tarjetas de crédito. Solo se almacenan los ID de clientes Stripe.
Google (OAuth & Drive)
OAuth 2.0 con alcances mínimos (drive.file, spreadsheets, drive.appdata). Los usuarios pueden revocar el acceso en cualquier momento a través de la configuración de la cuenta de Google. Sus datos cifrados y claves se almacenan en SU Google Drive AppData.
Servicios de IA de terceros
Usamos algoritmos y sistemas de señal propios para asegurar la precisión y calidad de los datos. Los servicios de IA de terceros están certificados SOC 2 Tipo I y Tipo II, están contractualmente prohibidos de usar sus datos para entrenamiento, y procesan los datos de forma efímera con cifrado en tránsito.
Controles de Acceso
Principio de Menor Privilegio
Los empleados tienen acceso mínimo requerido para su rol. Ningún empleado tiene acceso a documentos de clientes (no están almacenados).
Registro de Auditoría
Todas las acciones administrativas registradas. Los registros de acceso revisados regularmente en busca de anomalías.
Separación de Funciones
Los entornos de desarrollo, prueba y producción están aislados. El acceso a producción está restringido al equipo de operaciones.
Monitoreo y Respuesta ante Incidentes
Detección de Amenazas
Monitoreo automatizado de actividad sospechosa, intentos fallidos de inicio de sesión y abuso API. Alertas en tiempo real de eventos de seguridad.
Plan de Respuesta a Incidentes
Procedimientos documentados para incidentes de seguridad. Equipo de respuesta en servicio de guardia 24/7 para nivel Enterprise.
Notificación de Brecha
Si ocurre una brecha de datos, los usuarios afectados son notificados dentro de 72 horas. Cumplimiento con GDPR y leyes estatales de notificación de brechas.
Cumplimiento y Certificaciones
Cumplimiento de GDPR
Acuerdos de procesamiento de datos disponibles. La arquitectura de retención cero simplifica el cumplimiento. Derecho a eliminación automática (eliminar cuenta = eliminar datos).
Cumplimiento de CCPA
No vendemos información personal. Los residentes de California tienen derecho a acceder y eliminar datos.
SOC 2 Tipo II (Hoja de Ruta)
Auditoría formal en curso para nivel Enterprise. Las prácticas actuales se alinean con los principios de Seguridad, Disponibilidad y Confidencialidad.
Gestión de Vulnerabilidades
Actualizaciones Regulares
Dependencias e infraestructura parcheadas regularmente. Actualizaciones de seguridad aplicadas dentro de 48 horas de la divulgación.
Pruebas de Seguridad
Pruebas de penetración regulares y análisis de vulnerabilidades. Auditorías de seguridad externas anuales.
Divulgación Responsable
Reporta vulnerabilidades de seguridad a [email protected]. Reconocemos los informes en un plazo de 24 horas y proporcionamos actualizaciones cada 72 horas.
Tus Responsabilidades de Seguridad
¿Necesitas ayuda??
¿Necesitas ayuda con la seguridad??
Contacta a nuestro equipo legal y de seguridad en [email protected] para divulgaciones de incidentes o preguntas de cumplimiento.
Respondemos dentro de un día hábil.