Seguridad

Point11 se compromete a proteger la seguridad y la privacidad de los datos de nuestros clientes. Esta página describe cómo aislamos, protegemos y supervisamos esos datos, y en qué punto nos encontramos en materia de cumplimiento.

Aislamiento de los datos de clientes

• Los datos de cada cliente se mantienen separados dentro de la propia base de datos. La seguridad a nivel de fila (row-level security) de Postgres está habilitada y se aplica en todas las tablas que contienen datos de clientes, y la aplicación se conecta mediante un rol de base de datos que no puede eludirla.
• Una solicitud que no identifica su espacio de trabajo de cliente es rechazada por la base de datos en lugar de responderse.
• Estas reglas de aislamiento se verifican mediante pruebas automatizadas.

Infraestructura

La plataforma Point11 se aloja en Vercel, con Postgres gestionado (Neon) y Redis (Upstash). Cuando un cliente configura sus propias credenciales, las llamadas a modelos de IA pueden ejecutarse en la cuenta de Amazon Bedrock, Microsoft Azure o Google Vertex AI de ese cliente.

• Datos cifrados en tránsito mediante TLS 1.2 o superior para todas las conexiones
• HTTPS impuesto por los navegadores mediante HTTP Strict Transport Security
• Conexiones a la base de datos que exigen TLS con verificación completa de certificados
• Datos cifrados en reposo mediante AES-256 o equivalente
• Credenciales de proveedores de modelos aportadas por los clientes, cifradas además por Point11 con AES-256-GCM y vinculadas al espacio de trabajo del cliente
• Mitigación de DDoS a nivel de plataforma en el perímetro de la red

Control de acceso

• Inicio de sesión e inicio de sesión único gestionados por nuestro proveedor de identidad, WorkOS, con verificación en dos pasos opcional mediante llave de acceso, aplicación de autenticación o mensaje de texto, que una organización puede exigir, y códigos de recuperación de un solo uso almacenados solo como hashes
• Controles de acceso basados en roles con principios de mínimo privilegio
• Claves de API mostradas una sola vez, almacenadas solo como hash, limitadas a un único espacio de trabajo y configuradas para caducar en el plazo de un año
• Acceso a sistemas de producción restringido al personal autorizado
• Acceso del personal de Point11 concedido únicamente a cuentas de la empresa, con cada concesión, cambio y revocación consignados en un registro de auditoría
• El acceso de soporte al espacio de trabajo de un cliente requiere un motivo consignado, está limitado en el tiempo y se registra al iniciarse y al finalizar; cada cliente puede elegir recibir una notificación cada vez o aprobarlo previamente

Monitorización y registros

• Acciones relevantes para la seguridad, como inicios de sesión, cambios en la verificación en dos pasos, cambios de rol, cambios en claves de API y accesos del personal, consignadas en un registro de auditoría de solo anexión que la base de datos protege frente a modificaciones y eliminaciones, conservado durante al menos un año
• Comprobaciones de estado automatizadas, incluidas pruebas sintéticas de los recorridos críticos de los clientes cada cinco minutos
• Seguimiento de los incidentes operativos desde su detección hasta una resolución documentada

Desarrollo seguro

• Cada versión en producción supera comprobaciones automatizadas, entre ellas la comprobación de tipos, el análisis estático de código (linting), las pruebas unitarias y de integración, y la verificación del esquema de la base de datos
• Cambios en la base de datos revisados antes de su publicación, con un historial de migraciones aplicadas que no se puede alterar
• Alertas automatizadas sobre vulnerabilidades conocidas en nuestras dependencias de software
• Detección automatizada de secretos en los commits y pushes a nuestro repositorio de código
• Las nuevas versiones de paquetes de terceros esperan tres días antes de poder instalarse, lo que limita la exposición a versiones comprometidas
• Salvaguardas del lado del servidor que impiden que la plataforma acceda a direcciones de red privadas o internas

Tratamiento de datos

Point11 no entrena sus propios modelos de IA con datos de los clientes. Meta puede utilizar las entradas y salidas de los modelos Muse Spark, que ejecutan muchas funciones de Point11 Analytics, para mejorar sus modelos conforme a los términos de Meta; nuestra Política de privacidad enumera las funciones y los datos afectados. Para otras llamadas a modelos de lenguaje y de imagen a través de Vercel AI Gateway, pedimos al Gateway que utilice únicamente proveedores que no entrenen con los datos enviados.

Los datos de los clientes se conservan mientras sean necesarios para prestar los servicios y cumplir las obligaciones legales. Nuestra Política de privacidad describe qué se elimina cuando se cierra una cuenta y qué se conserva. Los clientes pueden solicitar su eliminación por escrito.

Los proveedores de servicios que tratan datos de clientes, y lo que recibe cada uno, se enumeran en nuestra Política de privacidad.

Point11 no procesa ni almacena directamente los datos de tarjetas de pago; el procesamiento de pagos corre a cargo de procesadores certificados conforme a PCI DSS (Stripe). Para hablar sobre requisitos de HIPAA u otras necesidades de cumplimiento, contacta con legal@point11.ai.

Respuesta ante incidentes y recuperación

• Los incidentes de seguridad confirmados que afecten a datos de clientes se notifican por correo electrónico a los propietarios y administradores del espacio de trabajo afectado sin demora indebida y en un plazo de 72 horas desde que tenemos conocimiento de ellos
• Revisión posterior y corrección de los incidentes confirmados
• Copias de seguridad gestionadas de bases de datos y recuperación a un momento dado a través de nuestro proveedor de bases de datos, Neon

Cumplimiento

Point11 todavía no dispone de un informe SOC 2 ni de una certificación ISO 27001. Nuestros proveedores de alojamiento y de bases de datos, Vercel y Neon, mantienen informes SOC 2 Type 2 para la infraestructura en la que se ejecuta Point11; esos informes no cubren la aplicación propia de Point11.

Cómo informar de problemas de seguridad

Para informar de un presunto incidente de seguridad que afecte a tu cuenta o a tus datos de Point11, como actividad inesperada, una clave de API expuesta o un presunto acceso no autorizado, escribe a security@point11.ai. Comunica las vulnerabilidades de seguridad de la plataforma de Point11 a la misma dirección; alcance, protección jurídica e instrucciones para informar: política de divulgación de vulnerabilidades.

Revisiones de seguridad

¿Estás evaluando a Point11 como proveedor? Completamos cuestionarios de seguridad y podemos explicar a tu equipo estas prácticas con más detalle. Contacta con legal@point11.ai o con tu representante de cuenta.

¿Prefieres comprar a través de tu proveedor de nube? Point11 Analytics está disponible en AWS Marketplace y Microsoft Marketplace.