01Infraestructura
Nuvnext no opera servidores ni centros de datos propios. La aplicación y la base de datos corren en proveedores de nube con certificación SOC 2 Tipo II, que responden por la seguridad física, la red y el hardware.
Cada cliente con plataforma propia tiene su base de datos separada, en su propio proyecto.
02Cifrado
| Alcance | Medida |
|---|---|
| En tránsito | TLS 1.2 o superior en todas las conexiones. HTTP Strict Transport Security con includeSubDomains y preload: el navegador nunca intenta una conexión sin cifrar. |
| En reposo | AES-256 en la base de datos, los respaldos y el almacenamiento de archivos, gestionado por el proveedor de nube. |
| Credenciales | Las llaves y secretos viven en el gestor de variables del proveedor, nunca en el código. |
03Aislamiento de datos
El aislamiento entre clientes vive en la base de datos, no en la pantalla. Aunque una consulta llegue sin pasar por la aplicación, la base solo entrega las filas que le pertenecen a quien pregunta.
- Row Level Security encendido en todas las tablas.
- Todas las vistas respetan los permisos de sus tablas de origen.
- Usuarios y visitantes no tienen permiso para vaciar una tabla completa.
Las tres se verifican con un barrido automático que corre en cada cambio al código.
04Seguridad de la aplicación
| Control | Qué evita |
|---|---|
| Content Security Policy | Que el sitio ejecute código o cargue recursos de orígenes no autorizados. |
| Protección contra iframes | Que otra página cargue la nuestra dentro de la suya para engañar al usuario. |
| Redirecciones validadas | Que una liga manipulada mande al usuario a un sitio falso después de iniciar sesión. |
| Cabeceras de aislamiento | Que el navegador interprete archivos con otro tipo o comparta contexto con otros sitios. |
05Desarrollo seguro
- Cada cambio al código pasa por una revisión automática de seguridad. Un cambio que empeora un control se marca en el momento.
- Escaneo de secretos en cada cambio, para que ninguna llave llegue al repositorio.
- Alertas automáticas cuando una dependencia publica una vulnerabilidad.
- El esquema de la base vive versionado en el repositorio. Lo que hay en el código es lo que corre en producción.
- La información confidencial de clientes y finanzas no puede entrar al historial del código.
06Agentes de IA
Los agentes trabajan con el mismo principio que las personas: mínimo privilegio y aprobación para lo que sale.
- Cada agente tiene su propia llave de permisos, separada de la de las personas, y lee solo los módulos de su trabajo.
- El modelo de lenguaje recibe el texto que la tarea necesita, no acceso a la base.
- Una cotización, un mensaje a un cliente o un movimiento de dinero esperan la aprobación de una persona.
07Continuidad
- Respaldos automáticos de la base de datos. Su existencia se verifica el primer día de cada mes.
- Monitoreo de errores en tiempo real en el navegador, el servidor y el borde.
08Privacidad
Tratamos los datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Las finalidades, las transferencias y el ejercicio de derechos ARCO están en nuestro aviso de privacidad.
No vendemos ni comercializamos datos personales.
09Marco y documentación
Nuestro marco interno de seguridad tiene 50 controles y cada uno está mapeado a las normas que usan los equipos de compras y auditoría:
| Documento | Disponibilidad |
|---|---|
| Cuestionario de seguridad | SIG Lite, CAIQ o el formato de tu empresa. A solicitud. |
| Mapeo de controles | Control por control, contra la norma de tu auditor. A solicitud. |
| Acuerdo de tratamiento de datos | Junto con el contrato. |
| Lista de subprocesadores | Bajo acuerdo de confidencialidad. |
10Reporte de vulnerabilidades
Si encuentras una vulnerabilidad, escríbenos a seguridad@nuvnext.com antes de hacerla pública.
- Respondemos en un máximo de dos días hábiles y te avisamos cuando quede corregida.
- No emprendemos acciones legales contra quien reporte de buena fe.
- Te pedimos no acceder, modificar ni borrar datos de terceros, no degradar el servicio y darnos un tiempo razonable para corregir antes de divulgar.