Seguridad

1SOC 2#

Iniciamos el proceso de auditoría SOC 2 con un auditor independiente: estamos implementando los controles y preparando la evaluación. Todavía no tenemos el informe, y no decimos que estemos certificados.

Si tu empresa necesita conocer el estado de la auditoría para una evaluación de proveedores, escríbenos a nirvai@nirvana-ai.com con el asunto «SOC 2» y te ponemos en contacto con el auditor.

2Dónde están tus datos#

• El servicio y sus datos se alojan en Amazon Web Services, en Estados Unidos (región de Oregón).
• Cada empresa trabaja en un espacio aislado de los demás, y cada persona de su equipo ve solo lo que su rol permite.
• Los proveedores que tratan datos para nosotros están en la página de subencargados, con su finalidad y su ubicación.
• No usamos los datos de nuestros clientes ni de sus leads para entrenar sistemas de inteligencia artificial.

3Cómo los protegemos#

• Todas las conexiones con el sitio, la aplicación y las integraciones van cifradas (HTTPS).
• Las credenciales de las herramientas que conectas y las claves de proveedores se guardan cifradas, solo se descifran al usarse y nunca se vuelven a mostrar.
• Las contraseñas se guardan con hash. Puedes iniciar sesión con Google o Microsoft. Las sesiones son de corta duración.
• Los pagos con tarjeta los procesa Stripe o Mercado Pago: los números de tarjeta nunca pasan por Nirvai.
• Las acciones hechas desde integraciones externas quedan en un registro de actividad.
• El acceso interno a datos de clientes se limita a soporte y seguridad, y solo a lo necesario.

4Controles de los asistentes#

• Cada asistente sigue las instrucciones de la empresa y no puede saltarse sus reglas duras: consentimiento, «no contactar», horarios, la ventana de 24 horas de WhatsApp y el tope de intentos.
• Un «no me escriban más» detiene el contacto por todos los canales de esa empresa.
• El asistente se presenta como asistente, deriva a una persona cuando algo no está en la información de la empresa y no activa cambios importantes sin aprobación.

5Si ocurre un incidente#

Si confirmamos un incidente que afecta datos de un cliente, le avisamos dentro de 48 horas con lo que sabemos: qué pasó, qué datos y qué estamos haciendo. Colaboramos con sus avisos a las autoridades y a las personas afectadas cuando la ley lo exige. El detalle está en el Acuerdo de tratamiento de datos.

6Reportar una vulnerabilidad#

Si encuentras una vulnerabilidad, escríbenos a nirvai@nirvana-ai.com con el asunto «Seguridad», con los pasos para reproducirla. Respondemos dentro de 5 días hábiles. Te pedimos no acceder a datos de terceros, no degradar el servicio y darnos un plazo razonable para corregirla antes de publicarla. No emprendemos acciones contra quien reporta de buena fe siguiendo estas reglas.

El mismo contacto está publicado en /.well-known/security.txt.