La seguridad es parte esencial de cómo construimos. Esta página describe lo que es realmente cierto sobre nuestra arquitectura y nuestras prácticas hoy — no es una lista de marketing. Cuando algo no lo hemos terminado (una auditoría formal, una certificación), lo decimos con claridad en lugar de dar a entender lo contrario.
Salud y HIPAA
Hoy, los productos de Divinci no están aprobados para información de salud protegida (PHI). Ningún Business Associate Agreement cubre la plataforma de Divinci, y no debe introducir PHI en ella.
Estamos preparando una oferta independiente para el sector sanitario: un entorno de ejecución de chat dedicado, alojado en su propio proyecto de Google Cloud y separado del resto de la plataforma de Divinci. Está diseñado para no almacenar transcripciones de conversaciones. Todavía no firmamos Business Associate Agreements.
Lo que esto no es: una certificación de cumplimiento de HIPAA. No existe ningún certificado de HIPAA emitido por el gobierno, y no afirmamos cumplir con HIPAA. El cumplimiento es una combinación de salvaguardas técnicas, políticas escritas y Business Associate Agreements firmados con cada proveedor de la ruta de datos, evaluados para cada relación con un cliente. Hemos adoptado políticas escritas, que aún están en revisión legal, y lo indicaremos aquí cuando eso cambie.
Protección de datos
Cifrado
- En tránsito: TLS en todas partes entre los clientes, nuestro edge y nuestra infraestructura de origen.
- En reposo: cifrado a nivel de proveedor en nuestro almacén de datos principal y en el almacenamiento de objetos, más una capa dedicada de cifrado a nivel de campo para los campos sensibles designados.
- Gestión de secretos: las credenciales y las claves de API se gestionan mediante un gestor de secretos centralizado; no están codificadas en el código ni almacenadas en configuración en texto plano. Producción está configurada para fallar de forma cerrada en lugar de recurrir silenciosamente a credenciales obsoletas si el servicio de secretos no está accesible.
Minimización de datos
- Se puede aplicar una redacción opcional de PII (Microsoft Presidio) al contenido del chat antes de almacenarlo o enviarlo a un proveedor de IA. Es detección de entidades, no una determinación de desidentificación según HIPAA, y no hace que un producto sea seguro para PHI.
- Los logs contienen únicamente metadatos por política: no escribimos el contenido de los mensajes, direcciones de correo electrónico ni otros datos personales en los logs de la aplicación ni en los mensajes de error.
Controles de acceso
- Autenticación mediante Auth0.
- Control de acceso basado en roles (a nivel de plataforma) más permisos por recurso (a nivel de documento/espacio de trabajo) — mínimo privilegio de forma predeterminada.
- Registro de auditoría a prueba de manipulaciones: el acceso a registros sensibles se anota en un registro encadenado mediante hashes, diseñado para que las entradas no puedan alterarse en silencio después.
- Revisiones trimestrales de accesos y configuración de los servicios de producción.
Seguridad de la aplicación
- Defensa contra XSS en el límite de renderizado: el contenido generado por usuarios y por IA se sanea (DOMPurify) allí donde se renderiza como HTML; no se permite la inyección de HTML sin procesar desde fuentes no confiables.
- Pruebas de autorización: realizamos nuestras propias pruebas de seguridad, asistidas por IA y manuales, contra staging y producción, incluidas sondas autenticadas de autorización/IDOR — esto no es (todavía) un programa recurrente de pruebas de penetración por terceros, y no vamos a afirmar que lo tenemos hasta que exista.
- Revisión de dependencias y de código: revisión de código estándar en todos los cambios; las actualizaciones de dependencias se siguen a través de nuestras herramientas habituales de compilación.
Disponibilidad y monitorización
- Monitorización sintética de los endpoints de cara al cliente, que alerta al equipo de guardia mediante PagerDuty en cuestión de minutos ante una interrupción real, no solo ante errores de servidor — comprobaciones verificadas por contenido, no solo «¿devolvió un 200?».
- Infraestructura multirregión (edge de Cloudflare + origen en Google Cloud) con copias de seguridad automatizadas en nuestro almacén de datos principal.
- Actualmente no publicamos ningún SLA contractual de disponibilidad. Si su caso de uso necesita uno, pregúntenos — podemos hablar de qué es realista para su despliegue.
Respuesta ante incidentes
Mantenemos un proceso documentado de respuesta ante incidentes: detección y clasificación, contención, una evaluación honesta de si un incidente alcanza el nivel de una brecha notificable, remediación y un post-mortem sin culpables que retroalimenta lo que monitorizamos a continuación. Si usted es un cliente con un Acuerdo de Asociado Comercial con nosotros, ese acuerdo especifica nuestras obligaciones de notificación hacia usted — prevalecen esos términos, no esta página.
Para informar de un problema de seguridad o de una vulnerabilidad sospechada, escriba a security@divinci.ai. Actualmente no tenemos ningún programa formal de recompensas por errores (bug bounty); sí nos tomamos los informes en serio y trabajaremos con usted de buena fe.
En qué punto estamos respecto a las certificaciones formales
Siendo directos sobre esto, ya que muchas páginas de seguridad no lo son:
- HIPAA: no tenemos ninguna certificación de HIPAA y no afirmamos cumplimiento. Véase «Salud y HIPAA» más arriba.
- SOC 2: aún no lo hemos iniciado. Está en nuestra hoja de ruta; actualizaremos esta página cuando haya algo real que informar — no antes.
- ISO 27001, FedRAMP, PCI DSS: no poseemos estas certificaciones. Los pagos con tarjeta se procesan a través de Stripe; Divinci no almacena directamente datos de titulares de tarjetas.
Preferimos afirmar de menos aquí y ser dignos de confianza que afirmar de más y tener que desdecirnos.
Contacto
Preguntas de seguridad, informes de vulnerabilidades o preguntas sobre cumplimiento para un acuerdo concreto: security@divinci.ai