Seguridad
¿Mis datos y los de mis clientes están seguros?
Te respondemos con honestidad: qué ya funciona, qué estamos construyendo y qué falta. Estamos en fase de demostración, así que preferimos decirte la verdad antes que prometerte lo que no podemos comprobar.
Tus datos
- Todo viaja por conexiones cifradas (HTTPS/TLS) hacia la base de datos, la IA y las alertas.Implementado
- La base de datos cifra sus discos (lo hace el proveedor; lo verificamos en su documentación).Implementado
- Cada negocio tiene sus datos separados. La barrera dentro de la base de datos (Row Level Security) y las pruebas de fuga están en construcción.En construcción
- Los audios, imágenes y PDF se borran después de procesarse; se conserva solo el texto o los datos leídos.En construcción
- Cifrado propio de nombres, teléfonos y direcciones antes de guardarlos.Planificado
- Borrado automático a los 12 meses desde la última interacción (el plazo final lo define cada negocio).Planificado
Ley 1581 de 2012
- El agente pide la autorización de tratamiento desde el primer mensaje; en clínicas, de forma explícita para datos de salud.En construcción
- Registro de consentimientos: quién, cuándo y qué texto vio.En construcción
- "Borrar mis datos" desde el mismo chat, con registro mínimo sin datos personales.En construcción
- Contrato de transmisión de datos con cada negocio cliente (el negocio es el responsable; nosotros, encargados).Planificado
Inteligencia artificial
- La IA nunca confirma un pago: lo hace una persona del negocio.En construcción
- Los precios y totales los calcula el sistema, no el modelo de IA.En construcción
- Defensas contra manipulación del agente (el texto del cliente es dato, no instrucción) y pruebas.En construcción
- Alergias, reclamos y urgencias pasan siempre a una persona.En construcción
- Topes de gasto en la IA y alertas de consumo.En construcción
Operación y monitoreo
- Un vigía revisa WhatsApp, base de datos, IA y servidor, y avisa por Telegram si algo falla; manda un resumen diario.Implementado
- Monitor externo, firewall, SSH con llave, copias de seguridad y simulacros de restauración.Planificado
- Registro de auditoría y roles (dueño, cajero, asesor) en el panel.Planificado
- Procedimiento de incidentes: avisar al negocio en un máximo de 24 horas (propuesto) y apoyar el reporte a la SIC.Planificado
Lo que no tenemos
No contamos con certificaciones ISO 27001, SOC 2 ni PCI DSS. Aplicamos buenas prácticas básicas (aislamiento de datos, cifrado, mínimo privilegio, registro y alertas) y trabajamos sobre proveedores que publican sus propias certificaciones. Eso no equivale a una certificación propia.
Tampoco tocamos tu dinero: los pagos son transferencias o contra entrega, directo a tu negocio, y no guardamos datos de tarjetas.
Dónde viven los datos
En Neon (base de datos, AWS Estados Unidos), un servidor en Estados Unidos y OpenAI (procesamiento de texto por API). Es decir, fuera de Colombia, algo que el aviso de autorización debe indicar y que un abogado debe validar. Según la política publicada de OpenAI, los datos enviados por su API no se usan para entrenar sus modelos por defecto; es una política de ellos, que verificamos en su documentación vigente.
Un riesgo que conviene conocer
La demostración usa hoy una herramienta no oficial de WhatsApp, con riesgo de bloqueo del número. Para clientes en producción se migra a la API oficial de Meta (WhatsApp Cloud API).
Estado del sistema
Pronto podrás ver si todo funciona en estado.nousoft.win. Esa página todavía está en preparación.
Esta página es un resumen informativo, no asesoría jurídica. El cumplimiento de la Ley 1581 de 2012 y sus decretos debe validarlo un abogado antes de operar con datos reales. ¿Tu empresa necesita un cuestionario de seguridad? Hablemos. Más detalle en la política de privacidad.