Seguridad y protección de datos

1. Mecanismos técnicos, organizativos y contractuales

Técnicos

• Aislamiento entre clientes: todas las tablas de la base de datos tienen seguridad a nivel de fila (Row Level Security de PostgreSQL). Cada consulta se filtra por la organización del usuario, de modo que un cliente no puede leer datos de otro.
• Control de acceso por roles: propietario, administrador y miembro. Solo el propietario y los administradores gestionan integraciones, facturación, exportación y eliminación.
• Contraseñas: nunca se guardan en texto plano. Se almacenan con hash bcrypt (Supabase Auth). El acceso se hace por sesión con tokens firmados.
• Credenciales de integraciones (WhatsApp/Meta, Shopify, llaves de IA): cifradas con AES-256-GCM antes de guardarse; la llave de cifrado vive solo en el servidor, fuera de la base de datos.
• Webhooks verificados: los mensajes entrantes de WhatsApp (firma HMAC-SHA256 de Meta) y los eventos de pago de Stripe se validan criptográficamente antes de procesarse.
• Protección de la aplicación: límites de tasa, reCAPTCHA en registro, detección de spam, reglas de contención (guardrails) configurables para el asistente, y cabeceras de seguridad HTTP (HSTS, protección contra clickjacking, nosniff).
• Superficie mínima expuesta: la base de datos y la aplicación solo escuchan en la red interna del servidor; el único acceso público es HTTPS a través del proxy. La administración del servidor se hace solo por SSH con llave (sin contraseñas) y con bloqueo automático de intentos fallidos.

Organizativos

• Acceso administrativo restringido al personal técnico autorizado de Zero Azul, bajo mínimo privilegio.
• Obligación de confidencialidad para todo el personal y contratistas con acceso a la plataforma.
• Control de cambios: todo el código está versionado en git; cada despliegue a producción es automatizado, toma un respaldo previo de la base y aplica las migraciones de forma controlada.
• Escáner de vulnerabilidades propio para el código y la configuración, además de las alertas de seguridad de las dependencias.
• El personal de soporte solo accede a datos de un cliente cuando el cliente lo solicita para resolver un caso.

Contractuales

• Términos de servicio y Política de tratamiento de datos personales.
• Contrato de transmisión de datos personales (Responsable – Encargado), disponible para firma con clientes empresariales.
• Lista pública de subencargados, con país, finalidad y garantías de cada uno.

2. Almacenamiento, transmisión y respaldo

Almacenamiento

• Servidor dedicado de Hetzner Online GmbH en su centro de datos de Helsinki, Finlandia (Unión Europea). Allí residen la base de datos (PostgreSQL), los archivos (documentos de Fuentes de datos, adjuntos de conversaciones) y la aplicación.
• Los archivos se guardan en almacenamiento privado; solo se entregan mediante enlaces firmados que vencen en una hora.
• Cifrado en reposo: hoy están cifradas las credenciales de integraciones y todas las copias de respaldo fuera del servidor. El cifrado completo del disco del servidor está en implementación.

Transmisión

• Todo el tráfico con navegadores, el widget web y las integraciones viaja cifrado con TLS 1.2 / 1.3 (HTTPS), con HSTS activo.
• Las comunicaciones con WhatsApp Cloud API (Meta), proveedores de IA, Stripe y correo se hacen por sus APIs oficiales sobre HTTPS.

Respaldo

• Respaldo completo de la base de datos todos los días y antes de cada despliegue.
• Copias locales en el servidor durante 14 días, con acceso exclusivo del administrador.
• Copia externa diaria en Dropbox, cifrada en el servidor antes de salir (XSalsa20-Poly1305, nombres de archivo también cifrados). La llave no está en Dropbox, por lo que el proveedor solo guarda datos ilegibles. Se conservan 30 días y luego se borran automáticamente.
• Pruebas de restauración: se verifica que las copias cifradas se descifran íntegras.

3. Tratamiento de datos personales, sensibles y confidenciales

• Conversso trata los datos solo para operar el servicio que el cliente configura: responder a sus usuarios con la información que el cliente le entrega, registrar conversaciones y leads, y medir el consumo. No vende datos ni los usa para entrenar modelos propios o de terceros, salvo en el plan Free, donde el proveedor del modelo puede usar los mensajes para entrenar sus modelos (ver Términos).
• El asistente responde únicamente con la información de las Fuentes de datos que el cliente carga. El cliente decide qué información pone a disposición y qué datos pide el asistente (campos de leads).
• Datos sensibles (salud, datos de menores, biométricos, etc., art. 5 Ley 1581): Conversso no los necesita para funcionar. Recomendamos configurar el asistente para no solicitarlos y usar las reglas de contención para derivar a una persona cuando un usuario los comparta. Si el cliente decide tratarlos, debe contar con la autorización explícita del titular y es responsable de informarle su carácter facultativo.
• Información confidencial del cliente (documentos, procedimientos, listas de precios): se usa únicamente para generar las respuestas de su asistente y queda aislada en su organización.
• Modelos de IA: las cuentas empresariales (planes Expert y Max) usan modelos comerciales de OpenAI o Anthropic con Zero Data Retention: las solicitudes se enrutan solo a endpoints que no guardan los datos (por ejemplo OpenAI alojado en Microsoft Azure) y que no los usan para entrenar modelos. El plan Free, gratuito, usa modelos open weight sin esa garantía y no se ofrece para datos de entidades.

4. Cumplimiento de la normativa colombiana con infraestructura fuera del país

• Zero Azul Company SAS es una sociedad colombiana y se somete a la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y las instrucciones de la Superintendencia de Industria y Comercio (SIC), sin importar dónde esté el servidor.
• Los datos se alojan en Finlandia, país miembro de la Unión Europea. La SIC reconoce a los países de la UE como países con nivel adecuado de protección de datos (Circular Externa 005 de 2017), y allí además rige el Reglamento General de Protección de Datos (RGPD).
• Al usar un Encargado, el envío de datos al exterior es una transmisión (no una transferencia): Zero Azul trata los datos por cuenta y según las instrucciones del cliente, bajo el contrato de transmisión que exige el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.
• Apoyamos al cliente en la atención de consultas y reclamos de los titulares dentro de los plazos legales, y en el reporte de incidentes ante la SIC.

5. Certificaciones, estándares y controles

• Centro de datos (Hetzner): certificado ISO/IEC 27001 para la gestión de seguridad de la información de sus centros de datos, con control de acceso físico, vigilancia 24/7, energía redundante y protección contra incendios. Ver certificado.
• Proveedores de IA y pagos: Anthropic y OpenAI cuentan con informes SOC 2 Type II; Stripe está certificado PCI DSS nivel 1 (Conversso nunca ve ni guarda datos de tarjetas); Meta opera WhatsApp Business Platform bajo sus propios programas de cumplimiento. Detalle en subencargados.
• Conversso: no cuenta aún con una certificación propia (ISO 27001 o SOC 2). Sus controles siguen como referencia el Anexo A de ISO/IEC 27001 y las guías de la SIC para el tratamiento de datos personales, y se describen en esta página.

6. Transferencia o transmisión internacional y subencargados

Para prestar el servicio, Zero Azul se apoya en proveedores que reciben solo los datos necesarios para su función. La lista completa, con país, finalidad y garantías, está en /subencargados. Los clientes empresariales con contrato reciben aviso previo de cualquier nuevo subencargado y pueden oponerse.

7. Eliminación, devolución o disposición al terminar la relación

• Devolución: en cualquier momento, el administrador descarga desde el panel (Datos y privacidad → Exportar) un archivo con todos sus datos: asistentes, fuentes, conversaciones y mensajes, leads, plantillas, campañas y consumo, en formato JSON estructurado.
• Eliminación: el propietario elimina la cuenta desde el panel (Datos y privacidad → Eliminar). Se borran de inmediato la base de datos de la organización, los archivos, las conexiones e integraciones y los usuarios; también se cancela la suscripción y se borra el cliente en Stripe.
• Respaldos: las copias de seguridad que todavía contengan esos datos están cifradas y se eliminan automáticamente a más tardar a los 30 días; no se restauran para otros fines.
• Certificado de eliminación: a solicitud del cliente, emitimos una constancia escrita de eliminación dentro de los 15 días hábiles siguientes.
• Si el cliente lo prefiere, Zero Azul realiza la exportación y eliminación por él, a solicitud escrita a [email protected].

8. Gestión de incidentes

Ante un incidente de seguridad que afecte datos personales del cliente, Zero Azul lo notifica al cliente sin demora injustificada y a más tardar en 72 horas desde que lo conoce, con la información disponible sobre el alcance, los datos afectados y las medidas adoptadas, para que el cliente, como Responsable, pueda reportarlo ante la SIC y los titulares según corresponda.

9. Facturación y pagos con tarjeta de crédito

La suscripción de Conversso y los paquetes de mensajes IA se facturan por Zero Azul Company LLC, sociedad de Wyoming, Estados Unidos (registro del Wyoming Secretary of State 2022-001096102), empresa del grupo Zero Azul. El pago con tarjeta de crédito se hace a través de Stripe. Los servicios de implementación para clientes en Colombia se facturan por Zero Azul Company SAS.

• Zero Azul Company LLC recibe solo los datos de facturación de la organización cliente (razón social, correo de facturación, país e historial de pagos). No accede a las conversaciones, leads ni Fuentes de datos.
• Los datos de la tarjeta los procesa Stripe (certificado PCI DSS nivel 1) y nunca llegan a los servidores de Zero Azul.
• El tratamiento de los datos del servicio y las obligaciones de esta página están a cargo de Zero Azul Company SAS, sin importar cuál de las dos entidades facture.
• Los documentos societarios de la LLC (constitución, EIN, certificación bancaria) se entregan a solicitud.

Contacto

Seguridad y protección de datos: [email protected].