Seguridad

Los datos del producto que tu organización introduce en Alethexis se almacenan en infraestructura alojada en la Unión Europea (Frankfurt, región eu-central-1). Tu inventario de sistemas de IA, tus clasificaciones de riesgo, tus evaluaciones y tus evidencias permanecen en la UE.

Los servicios auxiliares (pagos, correo transaccional, facturación) los prestan terceros con sus propias garantías; cualquier transferencia internacional se gestiona conforme al RGPD. Qué papel tiene cada uno y con qué garantía está publicado en nuestro registro de subencargados y proveedores.

Alethexis es una plataforma multi-tenant: varios clientes comparten infraestructura, pero nunca datos. El aislamiento se aplica a nivel de base de datos mediante Row Level Security (RLS) obligatoria en toda tabla que contiene datos de cliente. Ninguna consulta puede devolver información de una organización a un usuario de otra.

Lo que nos diferencia es que ese aislamiento no se confía a la revisión manual: las pruebas de RLS se ejecutan en integración continua y bloquean el despliegue si fallan. Una versión de Alethexis que comprometa el aislamiento entre clientes no llega a producción.

Toda comunicación con Alethexis viaja cifrada mediante TLS 1.3. Los datos en reposo se cifran con AES-256, tanto en la base de datos como en el almacenamiento de archivos. Las claves de cifrado en reposo las gestiona el proveedor de infraestructura.

El acceso a los datos se rige por el principio de mínimo privilegio. Cada cuenta de cliente define roles diferenciados —Owner, AI Officer, DPO, Contributor, Auditor— con permisos acotados a lo que cada función necesita.

Las contraseñas se almacenan con hashing bcrypt; nunca en texto plano. El inicio de sesión admite autenticación multifactor (MFA), y las credenciales con privilegios de administración interna de Alethexis la tienen activada de forma obligatoria. Las claves de servicio nunca se exponen al navegador: se usan exclusivamente en el lado servidor.

Las operaciones sensibles sobre los datos quedan registradas en un registro de auditoría que solo admite añadir entradas: tiene revocados a nivel de base de datos los permisos de modificación y borrado. Una vez escrito, un registro no se puede editar ni eliminar desde la aplicación; el apartado 11 explica qué ocurriría si alguien lo intentara por otra vía y cómo se detectaría.

Esto es el fundamento de lo que ofrecemos a nuestros clientes —evidencia auditable y trazable— aplicado a nuestra propia operación.

La base de datos cuenta con copias de seguridad diarias gestionadas por el proveedor de infraestructura en la misma región europea, con retención de siete días. La recuperación a un punto en el tiempo y las pruebas periódicas de restauración en entorno separado están en nuestro plan de seguridad y no se presentan como medidas hasta que existan.

Las dependencias del software se actualizan de forma automatizada y ningún cambio llega a producción sin revisión, comprobación de tipos y pruebas requeridas. La detección de secretos barre todo el historial del código en cada integración.

Cuando contratas Alethexis, actuamos como encargado del tratamiento respecto a los datos que introduces, bajo un Acuerdo de Tratamiento de Datos (DPA) conforme al Art. 28 del RGPD. Mantenemos una lista pública y actualizada de subencargados, y notificamos cualquier alta con antelación.

El registro público de subencargados y proveedores distingue tres bloques según el papel de cada tercero: los subencargados del cliente en el sentido del Art. 28 —los únicos a los que alcanzan el aviso previo de 30 días y el derecho de objeción—, los proveedores de Alethexis como responsable, que no reciben los datos personales comprendidos en los Datos del producto del cliente, y las herramientas de desarrollo sin acceso a datos de producción. Para cada uno consta su finalidad, los datos implicados, dónde opera y la garantía que lo cubre. El registro es la fuente: cualquier cuenta o lista que aparezca en otra página es un resumen que caduca.

Documentos disponibles:

• Política de privacidad
• Acuerdo de Tratamiento de Datos (DPA)
• Registro de subencargados y proveedores
• Política de cookies

Disponemos de un procedimiento documentado de respuesta ante incidentes de seguridad. En caso de una violación de seguridad de datos personales que lo requiera, notificamos conforme a los plazos del RGPD (Art. 33). Revisamos periódicamente nuestras medidas técnicas y organizativas, y actualizamos esta página cuando hay cambios materiales.

Si has identificado una posible vulnerabilidad en Alethexis, queremos saberlo. Escríbenos a security@alethexis.com y la revisaremos con la seriedad que merece. Agradecemos la divulgación responsable y coordinada.

El registro de auditoría de tu organización no se puede modificar ni borrar desde la aplicación: solo se añade. Cada entrada lleva una huella de integridad SHA-256 encadenada a la anterior, de modo que está diseñado para que cualquier alteración o borrado posterior se detecte. La cadena de cada organización se verifica automáticamente cada día y el resultado se muestra en el propio registro. Si un evento no pudiera guardarse, el fallo queda registrado y nuestro equipo lo revisa a diario. Como criterio general, conservamos el registro bloqueado una duración máxima de cinco años desde la finalización del encargo, sin perjuicio de que resulte aplicable un plazo de prescripción diferente o de que se produzca una causa legal de interrupción o extensión del plazo.

No decimos «inmutable» ni «imposible de alterar». Un administrador de la base de datos podría intentarlo; lo que ofrecemos es que se detectaría. Preferimos decir exactamente lo que hacemos: cada día exportamos las cabezas de cadena a un almacén fuera de la base de datos, con otro proveedor y otro control de acceso, y las comparamos al día siguiente: una reconstrucción completa del registro se detectaría.

Si una persona se da de baja, su nombre desaparece de todo lo que hizo en Alethexis, pero lo que se hizo se conserva: los sistemas que dio de alta, las clasificaciones, las aprobaciones y las evidencias siguen ahí, sin autor visible. En el registro de auditoría se eliminan su identificador, su dirección IP y su agente de usuario. Las direcciones IP y los agentes de usuario se eliminan en todo caso a los 12 meses. El resto de la información se conserva según una matriz de retención por categoría y se elimina al terminar su plazo.

Si una persona tiene activada la verificación en dos pasos, una sesión que todavía no ha pasado el código no llega al contenido de su organización. La comprobación no se apoya en lo que guarda el navegador: la hace el servidor con la sesión verificada, antes de enviar la página, y la base de datos aplica la misma regla en las tablas con datos de organizaciones, al leer y al escribir, y en los ficheros de documentos, evidencias y soporte.

Además, el Owner y el DPO necesitan una sesión verificada con segundo factor para entrar en M3 y, si la organización tiene M3, en Evidencias. Implementado y verificable: las pruebas de base de datos que se ejecutan en integración continua comprueban la regla tabla a tabla, y una prueba de extremo a extremo comprueba el acceso real.

Los códigos que enviamos por correo para entrar en un enlace público de solicitudes o en el acceso de un auditor externo caducan a los 15 minutos y admiten cinco intentos. No se guardan en claro: se guarda su HMAC-SHA256, calculado con un secreto que solo conoce el servidor y que no está en la base de datos, y la comparación se hace en tiempo constante. Un código de un tipo de acceso no sirve para el otro.

Implementado y verificable: las pruebas automáticas de la base de datos comprueban el límite de intentos, la separación entre los dos tipos de acceso y la comparación.

Cuando se completa el borrado de una organización, se eliminan sus datos de todas las tablas, sus ficheros del almacenamiento y las cuentas de usuario de sus miembros que no pertenecen a ninguna otra organización, a quienes avisamos antes por correo. El registro de auditoría se conserva durante su plazo, seudonimizado: el identificador de cada persona se sustituye por un seudónimo y se eliminan las direcciones IP y los agentes de usuario.

Implementado y verificable: una prueba automática recorre el borrado completo y comprueba que no queda ninguna fila de la organización en las tablas ni ningún fichero suyo en el almacenamiento, salvo los registros previstos, ya seudonimizados.

Si el mismo formulario se envía dos veces en unos segundos —un doble clic o una conexión lenta—, la plataforma crea un solo registro y las dos peticiones reciben la misma respuesta. Cuando lo que se crea es una clave de API o el secreto de un webhook, el secreto se muestra una sola vez y no se guarda en el mecanismo que evita el duplicado. Implementado y verificable con pruebas automáticas contra la base de datos.

Los documentos PDF que genera la plataforma con los datos de tu organización —la política de uso, el acta del comité, la matriz RACI, la FRIA, la DPIA, el informe de clasificación, el informe de estado o el índice de evidencias, entre otros— quedan registrados con su huella SHA-256. Si un fichero cambia después, su huella deja de coincidir con la registrada, y eso se puede comprobar. Una huella permite verificar que un documento no ha cambiado; no es una firma electrónica.

Además de las pruebas de aislamiento del apartado 2 y de la detección de secretos del apartado 7, ningún cambio llega a producción sin pasar un guardián de vocabulario, que bloquea en los textos de la interfaz, de los correos y de los documentos las afirmaciones de resultado que la plataforma no puede sostener, y una medición automática de accesibilidad de las páginas públicas y de las pantallas del producto, que explicamos en Accesibilidad. Cada día comprobamos además, contra producción, que las páginas públicas principales cargan en el navegador sin errores.