Seguridad y cifrado
Documento técnico

2.1 Cifrado de mensajes en reposo

Todos los mensajes de conversación se cifran a nivel de base de datos con AES-256-GCM (Estándar de cifrado avanzado con modo Galois/Contador), lo que garantiza confidencialidad y autenticidad.

2.2 Flujo del proceso de cifrado

2.3 Seguridad de la capa de transporte

Todos los datos en tránsito están protegidos con TLS 1.3 y conjuntos de cifrado fuertes:

• TLS_AES_256_GCM_SHA384
• TLS_CHACHA20_POLY1305_SHA256
• Secreto perfecto hacia adelante (PFS) habilitado
• HSTS (Seguridad estricta de transporte HTTP) aplicado

2.4 Gestión de claves

Las claves de cifrado se gestionan de forma segura:

• Las claves maestras se almacenan en variables de entorno (no en código ni base de datos)
• Las claves nunca se registran ni se exponen en respuestas de la API
• La hoja de ruta futura incluye integración con AWS KMS para rotación mejorada de claves
• Claves de cifrado por inquilino disponibles para clientes empresariales

Cada acceso a datos sensibles se registra para monitoreo de seguridad, cumplimiento e investigación de incidentes.

4.1 Qué registramos

4.2 Estructura del registro de auditoría

Cada entrada del registro de auditoría contiene:

{
  "timestamp": "2026-02-05T10:30:00Z",
  "userId": "uuid",
  "domainId": "tenant-uuid",
  "activityType": "message.access",
  "ipAddress": "192.168.1.1",
  "userAgent": "Mozilla/5.0...",
  "customFields": {
    "conversationId": "conv-uuid",
    "messageCount": 25,
    "action": "view"
  }
}

4.3 Retención y acceso a registros de auditoría

• Los registros se retienen un mínimo de 2 años (configurable según el cliente)
• Los registros se almacenan en formato inmutable para evitar alteraciones
• Disponibles para revisión del cliente en el panel de administración
• Exportables para integración con SIEM externo (clientes empresariales)
• Alertas en tiempo real ante patrones de actividad sospechosos

Monitorizamos de forma continua el código, la nube y las canalizaciones de entrega frente a marcos de seguridad y privacidad reconocidos (incluido Aikido Security).

6.1 Marcos monitorizados

6.2 Atestaciones formales frente a preparación operativa

Lo siguiente suele exigir programas, contratos o validación independiente aparte del monitoreo de controles mapeados:

• SOC 2 Tipo II: informe de un auditor independiente en un periodo definido—distinto del monitoreo continuo de controles.
• ISO 27001: la certificación formal requiere auditoría de un organismo acreditado.
• HIPAA para entornos sujetos: los clientes empresariales que necesiten un BAA deben contactarnos para acotar requisitos.
• Pruebas de penetración específicas del cliente e informes formales pueden estar disponibles bajo NDA cuando proceda.

6.3 Derechos del interesado según el GDPR

Apoyamos plenamente todos los derechos del interesado según el GDPR:

• Derecho de acceso (Art. 15): Exportar todos los datos personales desde el panel de configuración
• Derecho de rectificación (Art. 16): Actualizar perfil y datos desde el panel
• Derecho de supresión (Art. 17): Eliminar cuenta y todos los datos asociados
• Derecho a la portabilidad (Art. 20): Exportar datos en formato legible por máquina
• Derecho de oposición (Art. 21): Excluirse de actividades de tratamiento de datos