Seis pilares, sin sorpresas
Protección de datos
Los datos de tus clientes están cifrados en todos los lugares donde residen: en reposo, en tránsito y en las copias de seguridad.
- TLS 1.2+ para todo el tráfico
- Cifrado AES-256 en reposo
- Copias de seguridad cifradas de la base de datos
- Aislamiento lógico por organización
Control de acceso
El inicio de sesión único, los permisos por rol y los tokens de API granulares te dan un control preciso sobre quién ve qué.
- SSO mediante SAML 2.0 y OIDC
- Autenticación de dos factores (TOTP)
- Acceso basado en roles (admin / agente)
- Tokens de API con alcance y rotación
Seguridad de red
Restringe el acceso al panel por IP y deja que nuestra infraestructura absorba el resto.
- Listas de IP permitidas opcionales para el panel
- Protección contra DDoS en el edge
- API públicas con límite de uso
- Encabezados HTTP reforzados (HSTS, CSP)
Auditoría y visibilidad
Cada cambio relevante queda registrado para que puedas investigar, demostrar y mejorar.
- Registro de auditoría inmutable para acciones de administración
- Historial de inicios de sesión y sesiones
- Webhooks salientes para SIEM
- Exportación opcional de registros a tu bucket de S3
Gobernanza de datos
Un DPA que puedes firmar, una lista pública de subprocesadores y la posibilidad de elegir dónde se alojan tus datos.
- DPA disponible a pedido
- Lista de subprocesadores publicada
- Opciones de residencia de datos en la UE y EE. UU.
- Eliminación de datos por cliente bajo solicitud
Confiabilidad
Copias de seguridad diarias cifradas e infraestructura sobre la red global de Cloudflare.
- Copias de seguridad cifradas diarias, con retención de 30 días
- Infraestructura en la red global (Cloudflare Workers)
- SLA de disponibilidad disponible en los planes Enterprise
Documentos legales
DPA
Acuerdo de Procesamiento de Datos estándar. Firma de autoservicio: sin necesidad de una llamada con ventas.
Subencargados
Lista actualizada de cada proveedor con el que compartimos datos de clientes, y para qué.
Política de privacidad
Qué recopilamos, por qué, cuánto tiempo lo conservamos y cómo eliminarlo.
¿Estás haciendo una evaluación de seguridad de proveedores?
Escribe a security@customerhero.app y te enviaremos nuestro paquete de seguridad: cuestionario, descripción de la arquitectura, lista de subprocesadores, DPA y nuestro inventario actual de controles. La mayoría de las evaluaciones se resuelven en una sola revisión.
Preguntas frecuentes de seguridad
Tus datos residen en la región que eliges al registrarte: actualmente UE (Frankfurt) o EE. UU. (Virginia). Las copias de seguridad permanecen en la misma región. Los clientes enterprise pueden solicitar una región personalizada.
No. Tus conversaciones y fuentes de conocimiento nunca se usan para entrenar ningún modelo, ni el nuestro ni el de nuestros proveedores. Enviamos tus prompts a OpenAI con indicadores explícitos de no entrenamiento, y no almacenamos los prompts en bruto más allá de lo necesario para mostrar la conversación.
Sí. El DPA estándar de CustomerHero está disponible para que cualquier cliente lo firme; no necesitas estar en un plan de pago. Para contratos enterprise también admitimos DPAs con cambios marcados por el cliente.
Los administradores pueden eliminar el registro de un cliente desde el panel o a través de la API; esto purga conversaciones, mensajes e información personal identificable. Las copias de respaldo expiran en un plazo de 30 días. Atenderemos con gusto las solicitudes escritas de eliminación de datos de cualquier titular.
Las llamadas de acción se ejecutan del lado del servidor desde CustomerHero con las credenciales que proporcionas, y cada llamada queda registrada en una traza de auditoría. Tú defines el esquema de la acción, la IA completa los parámetros; puedes exigir confirmación humana antes de que se ejecute cualquier acción.