Cuestionario de seguridad, respondido

Estas son las preguntas que el área de compras y la de seguridad de la información suelen enviar antes de aprobar a un proveedor. Están respondidas aquí para que nadie tenga que esperar dos semanas por un correo.

Donde la respuesta es "no tenemos", la respuesta es esa. El registro de proveedores lo verifica, y una afirmación que no se sostiene cuesta más cara que la carencia que intentaba esconder.

Resumen en 7 hechos

Estas son las preguntas que el área de compras y la de seguridad de la información suelen enviar antes de aprobar a un proveedor.
Están respondidas aquí para que nadie tenga que esperar dos semanas por un correo.
Donde la respuesta es "no tenemos", la respuesta es esa.
El registro de proveedores lo verifica, y una afirmación que no se sostiene cuesta más cara que la carencia que intentaba esconder.
¿Cómo entran a la plataforma las personas de nuestra empresa?: Por correo y contraseña, o con la cuenta de Google.
Cada persona tiene su propio acceso; la cuenta no se comparte.
La base de datos está en Estados Unidos (Google) y las respuestas de WhatsApp se escriben en Estados Unidos (DeepInfra, que ejecuta el modelo DeepSeek).

En números

Cifra	Qué significa
7 días	La base de datos tiene una copia de seguridad por día, guardada durante 7 días, así que lo eliminado desaparece de las copias en un plazo de hasta 7 días.
365 días	El registro se guarda 365 días y se exporta en CSV.

Acceso e identidad

¿Cómo entran a la plataforma las personas de nuestra empresa?: Por correo y contraseña, o con la cuenta de Google. Cada persona tiene su propio acceso; la cuenta no se comparte.
¿Hay inicio de sesión único corporativo (SSO por SAML)?: No. CertuAI todavía no ofrece SAML ni aprovisionamiento automático de usuarios por SCIM. Entrar y salir del equipo se hace en el panel, a mano, por el responsable de la cuenta.
¿Hay segundo factor de autenticación?: Cuando la persona entra con la cuenta de Google, vale el segundo factor configurado en el Google de la empresa. CertuAI no ofrece un segundo factor propio para el acceso con contraseña.
¿Se puede separar lo que ve y hace cada persona?: Sí, con cinco roles fijos: dueño, admin, edición, solo lectura y vendedor. Quien tiene solo lectura no cambia nada. El vendedor solo ve los contactos, negocios y tareas que tiene asignados. El admin hace lo que hace el dueño, menos pagar, cancelar el plan y borrar la cuenta o la base de conocimiento. La restricción se aplica en el servidor, no solo en la pantalla. No existe rol personalizado ni permiso por equipo, por unidad o por campo.
¿El equipo de CertuAI accede a nuestra cuenta?: Sí, para soporte y operación. Cuando alguien de CertuAI abre la base de conocimiento, las conversaciones, las llamadas, el sitio o las conexiones de WhatsApp de una cuenta, o cambia su sitio, su conexión, su plan o su suscripción, queda una línea en el registro que el dueño ve en el panel. La cobertura no es total: las pantallas internas que listan todas las cuentas a la vez no dejan una línea en cada cuenta.
¿Cómo revocamos el acceso de alguien que se fue?: El responsable quita a la persona en el panel y el acceso cae al momento. El historial de acciones que hizo sigue registrado.

Datos

¿Los datos se quedan en el país?: No todo. La base de datos está en Estados Unidos (Google) y las respuestas de WhatsApp se escriben en Estados Unidos (DeepInfra, que ejecuta el modelo DeepSeek). En Brasil están el servidor de la conexión por código QR (Hostinger) y el cobro (Asaas). La lista completa está justo abajo.
¿Los datos están cifrados?: En tránsito, sí: todo el tráfico es HTTPS. En reposo, vale el cifrado estándar de Google Cloud y de Cloudflare. CertuAI no aplica una segunda capa de cifrado propia por campo, y no gestiona claves propias.
¿Usáis nuestras conversaciones para entrenar modelos?: No. CertuAI no entrena modelos de IA con las conversaciones. Solo alimentan la atención de la propia cuenta.
¿Cuánto tiempo se guardan los datos?: Mientras la cuenta exista. El propietario elimina la cuenta por sí mismo, en la página de eliminación de cuenta, sin pedírselo a nadie, y la eliminación también se puede solicitar a [email protected]. La base de datos tiene una copia de seguridad por día, guardada durante 7 días, así que lo eliminado desaparece de las copias en un plazo de hasta 7 días. Los registros de cobro y facturación permanecen según el plazo legal, sin el nombre ni el documento de quien pagó.
¿Podemos llevarnos nuestros datos?: Sí. A partir del plan Max existe exportación por HTTP autenticado, en NDJSON, que el equipo de datos consulta en su cita. Sirve para Snowflake, BigQuery o un script propio.
¿Nuestros datos quedan separados de los de otros clientes?: Por cuenta, dentro de la misma base de datos y de la misma aplicación. Cada acceso se comprueba en el servidor contra la identidad de quien inició sesión. No existe base de datos ni entorno dedicado por cliente.

Empresas que reciben los datos

La misma lista de las páginas de seguridad y de privacidad.

Empresa	Qué hace	Qué datos recibe	Dónde está
Google Cloud y Firebase	Base de datos, inicio de sesión de las cuentas y la copia de seguridad diaria de la base.	Todo lo que guarda la cuenta: registro, conversaciones, contactos, Cerebro y CRM.	Estados Unidos
Cloudflare	Entrega el sitio y el panel, ejecuta las rutas del servidor, protege contra abusos y guarda los archivos (audios, fotos, documentos y grabaciones de llamadas).	Todo el tráfico del sitio y del panel, y los archivos de las conversaciones.	No informado por el proveedor
DeepInfra	Ejecuta el modelo DeepSeek, que escribe las respuestas del asistente de WhatsApp y lee las conversaciones del negocio para montar el Cerebro, y los modelos que generan las imágenes y los vídeos del estudio.	El texto de la conversación y el Cerebro del negocio, en el momento de cada respuesta, lo que el dueño envía al estudio y lo que el visitante escribe en el chat de la página de inicio para montar el asistente, incluso sin cuenta.	Estados Unidos
Google Gemini	Responde en lugar de DeepSeek cuando falla (y en algunas cuentas es el modelo principal), transcribe los audios y lee los PDF sin texto.	El texto de la conversación, el Cerebro del negocio, y los audios y PDF que llegan.	Estados Unidos
OpenAI	Lee las fotos que llegan por WhatsApp, transcribe las llamadas y transcribe el audio cuando Gemini falla.	Fotos, audios y el audio de las llamadas.	Estados Unidos
Anthropic	Lee las fotos y los PDF adjuntados en la conversación de la página de inicio y el PDF sin texto cuando Gemini falla, y ejecuta funciones del panel, como organizar el Cerebro.	Las fotos y los PDF adjuntados en la conversación, el Cerebro y las conversaciones que usan esas funciones. Certu no guarda el archivo adjuntado en la conversación.	Estados Unidos
Meta	Lleva y trae los mensajes cuando WhatsApp se conecta por la API oficial, y también los de Instagram y Messenger.	Los mensajes y el número de quien habla con el negocio.	Estados Unidos
Hostinger (servidor Evolution)	Mantiene la conexión de WhatsApp cuando el número se conecta por código QR en lugar de la API oficial.	Los mensajes y el número de quien habla con el negocio.	Brasil
Twilio	La línea telefónica y la llamada en sí, en el asistente de voz y en el marcador.	El número de quien llama y el audio de la llamada.	Estados Unidos
ElevenLabs	La voz del asistente de llamadas.	El audio y el texto de la llamada.	Estados Unidos
Asaas	Cobro en Brasil: tarjeta, boleto y Pix.	Nombre, número fiscal, correo, teléfono y dirección de quien paga.	Brasil
Stripe	Cobro fuera de Brasil.	Nombre, correo y datos de pago de quien paga.	Estados Unidos e Irlanda
Resend	Envía los correos de la plataforma.	El correo de quien lo recibe y el texto del mensaje.	Estados Unidos
Sistemas que conecta la propia empresa	Cuando la empresa conecta su propia cuenta, CertuAI le envía lo que pide la integración: CRM (como Salesforce, HubSpot y Pipedrive), agenda (Google Calendar), anuncios (Google Ads), sistema de clínica (como Feegow) y otros.	Nombre, teléfono, hora reservada y el resumen de la conversación, según la integración.	Depende del sistema que elija la empresa
Google Analytics, Google Ads y Meta Pixel	Miden el sitio y los anuncios de CertuAI, solo si el visitante acepta las cookies.	Cómo usa el sitio el visitante y, de quien contrata CertuAI desde un anuncio, el correo y el teléfono cifrados. Nunca las conversaciones de los clientes finales.	Estados Unidos
Microsoft Clarity	Graba cómo se usa el sitio, solo si el visitante acepta las cookies de medición.	Clics y desplazamiento de quien visita el sitio.	Estados Unidos
Cloudinary	Guarda las imágenes promocionales del sitio de CertuAI.	Ningún dato de las conversaciones ni de la cuenta; solo la dirección IP de quien abre una página con imagen.	Estados Unidos

Auditoría y control de contenido

¿Podemos saber quién cambió lo que responde el robot?: Sí. Todo cambio en la base de conocimiento registra quién lo hizo, cuándo, el valor anterior y el nuevo. Cada registro lleva una firma digital que permite comprobar después si fue alterado.
¿Ese registro es inmutable?: No en sentido estricto. La firma prueba que el contenido de un registro no fue editado, pero el almacenamiento no impide que un registro entero sea borrado por quien tiene acceso administrativo a la infraestructura. El registro queda en la misma base de datos de la cuenta, no en un almacenamiento separado. Guardarlo de modo que nadie pueda borrarlo es un servicio que CertuAI todavía no contrató.
¿Podemos saber quién abrió cada conversación?: Sí. El panel registra quién abrió, con qué rol, la conversación de qué contacto (con el teléfono enmascarado), por dónde y cuándo. El registro se guarda 365 días y se exporta en CSV. El texto de la conversación no entra en él. Solo el dueño y el admin de la cuenta ven la lista.
¿Se puede exigir aprobación antes de que una respuesta entre en marcha?: Sí, previa configuración. Con ella activada, el cambio queda en una cola de revisión y solo pasa a valer después de que otra persona lo publique. Quien lo propuso no aprueba su propio cambio.
¿Cómo sabemos que el robot no se está inventando respuestas?: Existe un informe mensual que toma una muestra de las respuestas dadas y verifica cada una contra la base de conocimiento de la cuenta, clasificándolas en fundamentada, sin base o contradictoria. Es un cribado automático: reduce lo que necesita revisión humana, no la sustituye.
¿Se pueden registrar las conversaciones con fines de cumplimiento normativo?: Sí, si lo configuras. Cada registro recibe una firma digital, el equipo tiene que estar de acuerdo, y la búsqueda se hace por las palabras que la empresa elija. Hoy el registro identifica la cuenta, no al empleado individual que respondió.

Certificaciones y postura

¿Tenéis ISO 27001 o SOC 2?: No. CertuAI no tiene un sello de seguridad otorgado por una empresa externa. Los servidores que CertuAI contrata (Google, Cloudflare) tienen sus propios sellos, y eso no se transfiere a CertuAI.
¿Hacéis test de intrusión periódico?: No hay test de intrusión contratado a una empresa independiente hasta la fecha.
¿Hay un plan formal de respuesta a incidentes?: No existe un documento formal de respuesta a incidentes con plazos contratados. La comunicación de un incidente se hace por correo a los responsables de la cuenta.
¿Cuál es el compromiso de disponibilidad?: No hay acuerdo de nivel de servicio con porcentaje y penalización en la oferta estándar. El compromiso contractual de disponibilidad se trata caso por caso en la negociación.
¿Quién es el responsable del tratamiento y quién el encargado?: La empresa cliente es la responsable del tratamiento de los datos de sus clientes. CertuAI es encargada del tratamiento, y trata esos datos solo para prestar el servicio contratado. El detalle está en /seguranca.
¿Firmáis un acuerdo de tratamiento de datos?: Sí, previo análisis. El documento se trata en la negociación, en la dirección [email protected].

¿Faltó alguna pregunta?

Manda la planilla a [email protected]. El detalle de datos, subencargados y retención está en la página de seguridad y tratamiento de datos.