Preámbulo
Este documento dice quién decide, qué queda registrado, dónde vive tu información y qué puede hacer un agente de Nuvnext. Describe lo que opera hoy. Lo que no está escrito aquí no lo prometemos.
Para el detalle técnico de infraestructura y aplicación, ver Seguridad.
En este documento:
- Agente
- Inteligencia que trabaja dentro de tus sistemas: lee, propone y deja el trabajo listo.
- Firma
- La aprobación de una persona de tu empresa, con su nombre y la hora.
- Llave
- El conjunto de permisos de cada agente, separado del de las personas.
- Bitácora
- El registro de cada decisión: hora, quién y de dónde salió el dato.
1.Quién decide
Lo crítico lo firma una persona. Una nota de crédito, un mensaje a un cliente o un movimiento de dinero esperan la aprobación de una persona antes de salir.
ISO/IEC 42001 A.9, uso de sistemas de IA.SOC 2 CC6.1.
Autonomía por niveles. Los permisos se asignan por rol. Dónde va la firma lo decides tú, proceso por proceso. Se puede mover cuando ya sabes en qué confiar. Desaparecer, no.
El nivel de cada proceso se acuerda contigo al arrancar; no viene preconfigurado.
Quién mueve los niveles. La dirección de tu empresa firma lo que le toca decidir. El límite de cada rol del equipo lo pones tú, no Nuvnext.
SOC 2 CC6.3, modificación y retiro de accesos.ISO 27001 A.5.18.
Un agente no se aprueba a sí mismo. Puede preparar una acción. Aprobarla, nunca.
2.Qué queda registrado
Cada decisión queda anotada: la hora, quién la tomó y de dónde salió el dato.
ISO 27001 A.8.15, registro de eventos.SOC 2 CC7.2.
La escribe el sistema, no el agente. El registro no depende de lo que el agente diga de sí mismo.
Para qué sirve. Para saber por qué una nota de crédito salió por ese monto, quién la autorizó y con qué documento a la vista, y para reconstruir el día que algo salió mal.
Ejemplo de renglón. 09:31 · Tú · Autorizaste la nota de crédito 0248 · Revisión en pantalla, con la devolución a la vista.
3.Dónde viven tus datos
Tu base, tu cuenta. Tu información vive en una base de datos de tu empresa, separada, en su propio proyecto. La cuenta la creas tú y la apagas tú.
Nuvnext no opera servidores propios. La aplicación y la base corren en proveedores de nube con certificación SOC 2 Tipo II.
El aislamiento vive en la base, no en la pantalla. Aunque una consulta llegue sin pasar por la aplicación, la base solo entrega las filas que le pertenecen a quien pregunta.
- Row Level Security encendido en todas las tablas.
- Todas las vistas respetan los permisos de sus tablas de origen.
- Usuarios y visitantes no tienen permiso para vaciar una tabla completa.
Las tres se verifican con un barrido automático en cada cambio al código.SOC 2 CC6.1 · ISO 27001 A.8.3.
Cifrado. TLS 1.2 o superior en todas las conexiones, con HTTP Strict Transport Security. AES-256 en reposo en la base, los respaldos y los archivos. Las llaves y secretos viven en el gestor de variables del proveedor, nunca en el código.
ISO 27001 A.8.24, uso de criptografía.SOC 2 CC6.7.
El modelo de lenguaje recibe la tarea, no tu base. Recibe el texto que la tarea necesita. Tu base no sale de tu cuenta.
ISO/IEC 42001 A.7, datos para sistemas de IA.
Datos personales. Los tratamos conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Las finalidades, las transferencias y el ejercicio de derechos ARCO están en el aviso de privacidad. No vendemos ni comercializamos datos personales.
LFPDPPP aviso de privacidad, derechos ARCO.ISO 27001 A.5.34.
4.Qué puede hacer un agente
Cuatro permisos, por rol. Cada quien ve y hace lo que le toca. La inteligencia también.
| Leer | Proponer | Aprobar | Enviar afuera | |
|---|---|---|---|---|
| Dirección | Todo, por módulo | Cualquier acción | Lo que le toca decidir | Con su firma |
| Equipo | Su rol | Su área | Según el límite que pones | Con firma de quien corresponde |
| Agente | Lo que su llave permite | Deja lista la acción | Nunca | Nunca sin firma |
| Cliente | Su proyecto, en su portal | Formularios y solicitudes | Sus documentos | No escribe en tus sistemas |
SOC 2 CC6.1 · ISO 27001 A.5.15, control de acceso; A.8.2, accesos privilegiados.
Mínimo privilegio. Cada agente tiene su propia llave, separada de la de las personas, y lee solo los módulos de su trabajo.
Lo que un agente nunca hace.
- Aprobar su propio trabajo.
- Mandar algo fuera de tu empresa sin la firma de una persona.
- Leer fuera de lo que su llave permite.
5.Controles
Un marco de 50 controles. Cada control está mapeado a las normas que usan los equipos de compras y auditoría: SOC 2, ISO/IEC 27001:2022, NIST CSF 2.0, CIS Controls v8, ISO/IEC 42001, LFPDPPP, GDPR y la Ley europea de IA.
Mapeado, no certificado. Nuvnext no cuenta con certificación propia; sus proveedores de nube sí (SOC 2 Tipo II).
Lo que se revisa solo. En cada cambio al código: aislamiento en todas las tablas, vistas que respetan los permisos, ninguna tabla que se pueda vaciar, redirecciones validadas, el esquema versionado en el repositorio y el candado que impide que material confidencial entre al historial. Si un cambio rompe un control que ya pasaba, se marca antes de entrar.
Los respaldos se revisan contra el proveedor el primer día de cada mes.
SOC 2 CC8.1 · ISO 27001 A.8.32, gestión de cambios.SOC 2 A1.2 · ISO 27001 A.8.13, respaldos.
Documentación para tu equipo de seguridad. El cuestionario de seguridad (SIG Lite, CAIQ o el formato de tu empresa) y el mapeo control por control, a solicitud. El acuerdo de tratamiento de datos, junto con el contrato. La lista de subprocesadores, bajo acuerdo de confidencialidad.
Detalle técnico completo en Seguridad.
6.Lo que no prometemos
Que nunca se equivoca. Se equivoca. Por eso lo crítico lo firma una persona, todo queda en la bitácora y cada decisión lo afina.
Porque quien responde por la empresa lo va a preguntar de todos modos.
Que tenemos una certificación. No la tenemos. Trabajamos procurando estándares empresariales e internacionales, y te damos la evidencia con la que trabaja tu auditor.
Que se instala solo. Dónde va la firma se decide contigo, proceso por proceso.
Que el riesgo es cero. Nadie puede prometerlo. Lo que sí te damos es saber qué pasó, cuándo y quién lo aprobó.
7.Contacto de seguridad
Reporte de vulnerabilidades. Si encuentras una vulnerabilidad, escríbenos a seguridad@nuvnext.com antes de hacerla pública. Respondemos en un máximo de dos días hábiles y te avisamos cuando quede corregida.
ISO 27001 A.5.24, gestión de incidentes.LFPDPPP aviso de vulneraciones.
Buena fe. No emprendemos acciones legales contra quien reporte de buena fe. Te pedimos no acceder, modificar ni borrar datos de terceros, no degradar el servicio y darnos un tiempo razonable para corregir antes de divulgar.
Política publicada en nuvnext.com/.well-known/security.txt, conforme al RFC 9116.