Seguridad y confianza
Seguridad y confianza
Las rutas de administración se interceptan en el edge antes de que corra cualquier código de aplicación. Todo lo que Soto Apex hace está listado abajo, junto a lo único que no tiene.
| Práctica | Estado verificado |
|---|---|
| Autenticación y acceso | Autenticación en el edge para superficies de administración vía HTTP Basic Auth en el edge de Vercel. Las superficies de administración se protegen antes de servir cualquier contenido. Principio de menor privilegio en las cuentas de servicio. |
| Protección de datos | Minimización de datos — solo se recopilan los datos requeridos del encargo. Los registros de cada encargo viven en un proyecto Supabase propio. Los productos de IA también envían el texto y el audio que procesan a los proveedores de modelos y de voz que los ejecutan. Los mensajes de WhatsApp pasan por Meta y las llamadas por nuestro proveedor de telefonía, y cada conversación del agente aparece en la bandeja compartida de su equipo. Políticas de seguridad a nivel de fila (RLS) aplicadas. Transporte vía TLS 1.2+ y HTTPS en todo. |
| Secretos y dependencias | Las claves de API, credenciales y secretos de entorno nunca se commitean. Secretos provisionados vía Vercel; rotados en eventos de cambio de acceso. Versiones de dependencias fijadas con archivos de bloqueo (lockfiles). |
| Operaciones | Cada encargo se entrega con runbooks, procedimientos de recuperación y custodia de credenciales. Toda comunicación con el cliente sobre canales cifrados. Ejecución de NDA para encargos con datos propietarios. |
| Certificaciones formales | Actualmente no contamos con SOC 2 Type II, ISO 27001 ni otras certificaciones formales. Operamos como una práctica de un solo operador con un plan de continuidad documentado para mitigar el riesgo operativo. |
Declaración leída el 10 de octubre de 2026.
Condiciones contractuales que lo protegen
Son los mismos compromisos que figuran en los Términos de Servicio, reunidos aquí para que quien revisa la seguridad no tenga que buscarlos.
Usted es dueño de lo que paga
Con el pago completo, usted es dueño del código, los documentos y los productos de datos creados para su proyecto. Las herramientas preexistentes siguen siendo del estudio, con una licencia perpetua y libre de regalías a su favor.
Confidencial por defecto
La información del cliente es confidencial por defecto y, a pedido, se firma un NDA mutuo antes de compartir información propietaria.
Sin reventa de sus datos
Los datos del cliente no se comparten con terceros salvo lo necesario para entregar el proyecto, por ejemplo proveedores de infraestructura en la nube bajo sus propios compromisos de privacidad.
Los documentos de recuperación se entregan con la obra
Cada proyecto se entrega con manuales de operación, procedimientos de recuperación y custodia de credenciales, para que el sistema no dependa de la memoria de una sola persona.
Flujo de una solicitud
Las rutas de administración se interceptan en el edge antes de que corra cualquier código de aplicación.
- 01Navegador
- 02Vercel Edge CDN (SOC 2 Type II)
- 03Edge Auth (HTTP Basic)
- 04Aplicación React
- 05Rutas de API
- 06Supabase (SOC 2 Type II, RLS)
Reportar una vulnerabilidad
Escriba directo a hello@sotoapex.com. Compromiso de acuse en 24 horas.
Los reportes de vulnerabilidades siguen un security.txt publicado, con compromiso de acuse de recibo en 24 horas.