Seguridad · versión del piloto

Antes de subir los datos de tu cliente

Esta página está escrita para que puedas decidir si te fías, no para convencerte. Describe el cifrado tal y como está implementado hoy en el piloto, incluido lo que no cubre. Si algo no está hecho, aparece aquí como límite y no como promesa.

Qué se cifra

Todo el contenido que escribe el usuario se cifra antes de escribirse en la base de datos, campo a campo:

• La identidad del expediente: nombre de la empresa, web, localidad, país, sector y notas.
• Sus cifras e hipótesis.
• El contenido y el relato del informe.
• El pitch y el teaser.
• Las fuentes públicas guardadas: URL, título y extracto.
• Los hechos, con sus citas y sus localizadores.
• Los comparables y los compradores candidatos.
• El nombre original de cada documento que subes.
• El contenido de esos documentos: el original y el texto extraído.
• Los datos de contacto de la recopilación documental por correo.

Cómo se cifra: sobre por firma

• No hay una sola clave para todo. Cada firma (cada cuenta) tiene su propia clave de datos de 32 bytes, generada al azar.
• Esa clave se guarda en la base ya cifrada con una clave maestra que solo existe en el entorno del servidor. La base de datos no contiene ninguna clave en claro.
• Además, cada campo se cierra con datos autenticados adicionales que lo atan a su firma, su tabla, su fila y su columna exactas. Si alguien copiara un dato cifrado de una fila a otra, o de una firma a otra, la autenticación falla en vez de devolver un valor equivocado.
• El algoritmo es AES-256-GCM, con un valor aleatorio distinto en cada cifrado. Los documentos que subes usan el mismo algoritmo y quedan atados a su firma y a su documento.

Qué no se cifra, y por qué

Se quedan en claro los metadatos que la aplicación necesita para funcionar. Es deliberado: sin ellos no se puede listar, ordenar, contar el consumo ni aplicar cuotas.

• Identificadores de firma y de persona.
• Fechas de creación, actualización y actividad.
• El estado del expediente.
• El código de proyecto: es un secuencial interno del tipo MND-0004, no contiene el nombre de la empresa.
• Recuentos y tamaños de archivo.
• Booleanos de control, como «las cifras de este expediente están confirmadas».

Índices ciegos: buscar sin descifrar

• Para poder buscar por igualdad y detectar duplicados sin descifrar, se guarda un índice ciego: un HMAC calculado con una clave derivada de la maestra. No es reversible.
• Va separado por firma, de modo que la misma empresa en dos firmas distintas produce índices distintos y no se pueden correlacionar entre clientes.
• La igualdad es la del texto normalizado (sin acentos, sin mayúsculas, sin puntuación), no una coincidencia difusa: dos nombres que solo se parezcan no se tratan como el mismo.

La consola de superadministración no puede descifrar, por construcción

• La cuenta interna de superadministración ve métricas agregadas: cuántos expedientes, cuántos informes, cuántos documentos, cuánto consumo de IA y su coste, por firma.
• No ve qué empresa analiza nadie, ni qué hay dentro de un pitch o un teaser.
• No es una promesa de buena conducta. Ninguna ruta de esa consola puede leer el contenido de un expediente: no importa el módulo que tiene la clave, ni alcanza los repositorios que devuelven contenido descifrado. Hay una prueba automática que recorre todo lo que la consola puede ejecutar —páginas, componentes y ayudantes, hasta el último import— y falla si alguna de esas rutas llega a alcanzarlos.
• La única excepción es la sala donde se entrena al agente que redacta los correos de petición de documentación. Ahí sí se abre el borrador, porque sin el texto no se puede juzgar cómo escribe. Antes de mostrarlo, la identidad —empresa, persona de contacto, firma, direcciones y enlaces— se sustituye por marcas neutras. Es una excepción deliberada, limitada a un solo módulo y también cubierta por la prueba. Su límite: el texto sigue describiendo el caso, así que quien ya lo conociera por el sector podría reconocerlo.
• Las acciones que se ejecutan desde ella quedan en el registro de auditoría, que se puede consultar en la propia consola.

Los límites, sin adornos

Esta sección pesa lo mismo que la anterior. Si alguno de estos puntos te parece inaceptable para los datos de tu cliente, es mejor que lo sepas antes de subirlos.

• El servidor descifra para poder trabajar. Cuando se lanza una investigación, el nombre de la empresa y sus datos públicos de identificación se descifran en el servidor y se envían al proveedor de IA (Ollama). El contenido de los documentos no se envía a ese proveedor.
• Quien tenga acceso al entorno del servidor podría descifrar. Con la clave maestra en la mano, un operador decidido puede abrir los datos. Hoy eso es el operador del servicio. El cifrado protege frente a un volcado de la base de datos, una copia de seguridad filtrada, una réplica de solo lectura o un curioso con acceso a la base pero no al servidor. No protege frente a un operador malintencionado con acceso al servidor.
• Los metadatos no están cifrados. Se puede saber cuántos expedientes hay, cuándo se crearon y de qué tamaño son los documentos.
• No hay rotación automática de claves implementada.
• Si se perdiera la clave maestra, los datos cifrados serían irrecuperables.
• Las copias de seguridad siguen los plazos de retención del proveedor de base de datos. Borrar un dato lo quita de la base activa, no necesariamente de esas copias.
• No hay certificación de cumplimiento auditada, ni acuerdo de encargado de tratamiento verificado, ni evaluación jurídica.
• Los errores de la aplicación se registran en Sentry para poder arreglarlos, con el mensaje de la excepción. La configuración no incluye identificarte, cookies, cuerpos de petición, parámetros de la dirección ni grabación de pantalla; aun así, un mensaje de error puede arrastrar parte de lo que se estaba procesando. Es un límite distinto del cifrado: el cifrado protege frente a un volcado de la base, no frente a lo que se envía a un proveedor.

Qué puede concluir un asesor

Un competidor tuyo no puede deducirse de nuestra base de datos. Nosotros sabemos cuántas operaciones llevas; nunca cuáles.

Eso es lo que este cifrado sostiene hoy, con los límites de arriba. No es una auditoría ni un certificado: es una descripción comprobable de un piloto.

Qué hacemos con los datos: la página hermana

Esta página responde a «quién puede leer el contenido». Privacidad y datos responde a «qué se hace con ellos y qué se envía a proveedores»: alojamiento, conservación, borrado y el detalle de lo que recibe Ollama. Las dos describen el mismo piloto y se revisan juntas.

Última revisión: 12 de septiembre de 2026. Este texto describe el estado del prototipo en esa fecha.