Seguridad

Base de datos y archivos: Supabase sobre AWS, en la región de Fráncfort (eu-central-1), dentro de la Unión Europea. PostgreSQL 17.

Aplicación web: Vercel.

Los archivos se guardan en un almacenamiento privado. No existe ninguna dirección pública que permita descargarlos: los enlaces que la plataforma genera van firmados y caducan en una hora.

En tránsito: TLS en todas las conexiones, tanto del navegador como entre servicios.

En reposo: AES-256, según lo que declaran Supabase y AWS para la infraestructura sobre la que corren la base de datos y el almacenamiento. Es una garantía de ellos, no una medida nuestra.

No se aplica cifrado adicional a nivel de aplicación sobre el contenido de los proyectos. Está indicado en «Lo que todavía no tenemos».

El navegador nunca se conecta directamente a la base de datos: toda lectura y escritura pasa por el servidor, que comprueba la identidad y el permiso en cada operación.

La identidad la gestiona Clerk. Las rutas privadas exigen sesión iniciada.

Los proyectos pertenecen a la organización que los crea. Otra organización no puede verlos, y dentro de una organización el acceso se decide por pertenencia o por compartición explícita, proyecto a proyecto y con permiso de lectura o de edición.

La administración de vitamINN puede acceder a datos de clientes únicamente para dar soporte o responder a un incidente.

Se registra el acceso de la administración de vitamINN a datos de un cliente, y la descarga de una copia completa de un proyecto o de una cuenta: quién, cuándo, sobre qué proyecto y de qué forma.

La apertura de un proyecto por otra persona de la misma organización, o a través de una compartición, todavía NO se registra. Está indicado en «Lo que todavía no tenemos».

El acceso a los propios datos no se registra: serían millones de entradas que no responden a ninguna pregunta.

Cualquier cliente puede solicitar el registro de accesos a sus datos escribiendo a la dirección de contacto.

Las consultas se procesan con la API de Claude, de Anthropic. Según sus condiciones comerciales, Anthropic no entrena modelos con los datos enviados por API.

Si la API de Claude no está disponible, el motor Smart puede recurrir a un proveedor de respaldo. Hoy el único configurado es Google (Gemini). El contenido de los borradores y análisis de patente NUNCA se envía al proveedor de respaldo: la restricción está implementada en el código y cubre tanto al especialista de propiedad industrial como cualquier petición de esa disciplina hecha desde el Chat.

Sobre el proveedor de respaldo no afirmamos que no entrene con lo que recibe: eso depende del nivel de plan contratado con él, y no sostenemos por escrito lo que no hemos verificado. Lo que sí está garantizado, y por código, es que el contenido de patente nunca llega hasta él y que solo interviene si Claude no está disponible.

Los datos oficiales que consulta la plataforma (EPO, BDNS, Registro Mercantil, EUIPO, literatura científica) reciben la consulta, no el proyecto.

El código vive en repositorios privados. Todo cambio pasa por una pull request, que se revisa antes de aprobarla; no hay revisión por una segunda persona, porque el equipo es de una.

Las dependencias de la aplicación se revisan de forma automática cada semana (la automatización, cada mes), y los avisos de seguridad se tratan aparte y con prioridad.

Los datos de producción no se usan en desarrollo ni en pruebas: los bancos de pruebas trabajan con dobles.

La base de datos cuenta con las copias de seguridad automáticas que proporciona Supabase para el plan contratado.

El cliente puede descargar en cualquier momento una copia completa de sus proyectos y de su cuenta en formato ZIP, sin intervención de vitamINN.

No publicamos todavía objetivos formales de RPO y RTO. Está indicado abajo.

Escriba a security@vitaminn.io. No hay programa de recompensas, pero sí el compromiso de responder, corregir y reconocer el aviso.

Los datos de contacto están también en https://app.vitaminn.io/.well-known/security.txt

Si un incidente afectara a datos de un cliente, se le informaría del alcance, la causa y la resolución.

Esta sección existe a propósito: una página de seguridad que solo enumera lo que sí se hace no sirve para decidir.

Sin certificación SOC 2 ni ISO 27001.

Sin auditoría de intrusión (pentest) por un tercero independiente.

Sin programa de recompensas por fallos.

Sin cifrado a nivel de aplicación sobre el contenido de los proyectos, más allá del cifrado en reposo de la infraestructura.

Sin autenticación de dos factores obligatoria. Está disponible en Mi cuenta → Seguridad de la cuenta, y se recomienda activarla.

Sin objetivos formales de recuperación (RPO/RTO) publicados.

Sin registro de la apertura de un proyecto por otra persona de la organización o por compartición: hoy solo se registran el acceso de la administración y las copias completas.

Sin verificar el nivel de plan del proveedor de respaldo del motor de IA, del que depende su política de entrenamiento. Mientras no esté verificado, no afirmamos nada al respecto.

vitamINN está en fase beta y es un proyecto de un equipo muy pequeño. Preferimos decirlo a aparentar una estructura que no existe: quien necesite hoy garantías contractuales de nivel empresarial debe planteárnoslo antes de contratar, no después.