Seguridad

La seguridad está integrada en Nodary, no añadida a posteriori. Seguimos los principios de mínimo privilegio, defensa en profundidad y configuración segura por defecto, y reducimos la superficie de ataque apoyándonos en una infraestructura gestionada y auditada. Esta página resume las medidas vigentes; el tratamiento de los datos personales se describe en la política de privacidad.

Nodary funciona íntegramente sobre Amazon Web Services, cuyos centros de datos cuentan con certificaciones independientes de primer nivel, entre ellas SOC 2 Tipo II e ISO 27001.

• La base de datos funciona sobre PostgreSQL gestionado dentro de una red virtual privada (VPC), no expuesta a la internet pública.
• El cómputo se ejecuta en funciones serverless aisladas y efímeras, con permisos IAM acotados.
• Los archivos se guardan en almacenamiento de objetos con control de acceso, mediante URL firmadas y de duración limitada.

• Las contraseñas se cifran con bcrypt; nunca las almacenamos en texto plano ni las volvemos a mostrar.
• Las sesiones utilizan tokens firmados y http-only, con revocación por sesión y «cerrar sesión en todas partes».
• Autenticación de dos factores opcional (TOTP), con códigos de respaldo y protección frente a repetición.
• Control de acceso por roles dentro de cada espacio de trabajo, aplicado en el servidor en cada petición y no simplemente oculto en la interfaz.
• Verificación del correo electrónico, comprobaciones de token en tiempo constante y enlaces de un solo uso para la verificación y el restablecimiento de contraseña.

• Cifrado en tránsito (TLS) en todas las conexiones.
• Cifrado en reposo de la base de datos, el almacenamiento de archivos y las copias de seguridad.
• Aislamiento estricto de datos por espacio de trabajo, aplicado en cada consulta y en las capas de facturación e IA.
• Copias de seguridad automatizadas y cifradas, con recuperación a un momento concreto en la base de datos gestionada.

Las funciones de IA se ejecutan sobre modelos fundacionales alojados en AWS (Amazon Bedrock) bajo un acuerdo que prohíbe usar sus datos para entrenar dichos modelos.

• Validación de entradas en el servidor, con aplicación de esquema.
• Límites de frecuencia por capas en los puntos de acceso de autenticación, API e IA, tanto en memoria como distribuidos.
• Política de seguridad de contenido (CSP) y cabeceras de respuesta de refuerzo estándar.
• Registro de auditoría de las acciones sensibles y gestión visible de las sesiones activas para cada usuario.
• Los webhooks se verifican por firma y se procesan de forma idempotente para impedir la repetición.

Los pagos los gestiona Stripe, proveedor certificado PCI-DSS de nivel 1. Los datos de la tarjeta se introducen directamente en Stripe y nunca pasan por nuestros servidores; solo conservamos metadatos de facturación no sensibles.

Si cree haber encontrado una vulnerabilidad de seguridad, comuníquela de forma privada a support@nodary.ai con detalle suficiente para reproducirla. Acusaremos recibo de su aviso, investigaremos sin demora y le mantendremos informado. Le rogamos que nos conceda un plazo razonable para corregirla antes de cualquier divulgación pública, y que no acceda ni modifique datos que no sean suyos.

En caso de violación de datos personales, lo notificaremos a la autoridad de control competente y a los usuarios afectados dentro de los plazos exigidos por el RGPD, y actuaremos para contener y remediar el incidente.