Seguridad, datos e IA: lo que ya nos comprometemos a hacer

Código, cuentas y accesos de tu proyecto

Lo que hacemos en los proyectos de desarrollo: software a medida, apps con IA y automatizaciones. Lo que solo aplica al software a medida va marcado.

• Hablas con quien escribe el código

  Sin capas comerciales en medio ni traspasos a personas que nadie te ha presentado.

• Repositorio y staging desde el primer día

  Tienes acceso al repositorio y a una URL de staging con el avance desde que empezamos.

• Todo a tu nombre al entregar

  Código, dominios, cuentas de proveedores y credenciales quedan transferidos. Puedes seguir con nosotros o con cualquier otro equipo.

• Automatizaciones en tus cuentas

  Los flujos se despliegan en n8n, Make o código propio, en tus cuentas o en una instancia a tu nombre.

• Staging separado de producción

  En software a medida, desplegamos en la infraestructura que acordemos, con un entorno de staging separado de producción. Las copias de seguridad se acuerdan en la propuesta según lo que requiera el proyecto.

• Confidencialidad

  En la fase de propuesta firmamos un acuerdo de confidencialidad si el proyecto lo requiere.

• Documentación para no depender de nosotros

  En software a medida: arquitectura, modelo de datos y cómo ejecutar y desplegar el proyecto, escrita para que otro desarrollador pueda continuar.

Dónde está publicado: Proceso · Desarrollo de software a medida · Automatización de procesos con IA

Qué datos usamos para probar

Depende del servicio, y lo decimos tal cual en cada uno:

• Agentes de IA

  El agente empieza en modo sugerencia: propone y una persona ejecuta. Lo probamos en staging con datos de prueba.

• Apps con IA

  El conjunto de evaluación es una batería de casos reales, anonimizados si hace falta, con la respuesta esperada para cada uno.

• Automatización de procesos

  Construimos y probamos con datos reales en un entorno de pruebas, en paralelo al proceso manual.

• Consultoría de IA

  Pedimos, si es posible, muestras de datos anonimizadas.

Dónde está publicado: Agentes de IA para empresas · Desarrollo de apps con IA · Automatización de procesos con IA · Consultoría de IA

Controles de la IA en producción

Las reglas con las que construimos apps con IA y agentes, publicadas en sus páginas de servicio.

• Permisos mínimos

  Cada herramienta de un agente tiene el acceso justo: lectura donde basta leer y escritura solo donde la acción está prevista.

• Aprobación humana

  Enviar, cobrar, borrar o modificar datos de clientes requiere que una persona lo apruebe. En las apps con IA, lo que afecta a dinero, a clientes o a datos personales pasa por una persona hasta que el registro justifique otra cosa; esa decisión es tuya.

• Registro de cada ejecución

  Cada ejecución de un agente queda registrada con sus pasos. En las apps con IA se registran la entrada, la salida, el coste y el tiempo de respuesta de cada llamada al modelo.

• Evaluación antes de cada cambio

  Cada cambio de prompt, modelo, datos o herramientas se valida contra el conjunto de casos acordado. Si el resultado empeora, el cambio no se despliega.

• Topes de gasto

  Límites de gasto y, en los agentes, de número de pasos por ejecución, para que un bucle no consuma presupuesto.

• Configuración versionada y proveedor sustituible

  Prompts y configuración viven en el repositorio, junto al código. Si un proveedor cambia precios, condiciones o calidad, se puede pasar a otro y comprobar con la misma evaluación si el resultado se mantiene.

Dónde está publicado: Desarrollo de apps con IA · Agentes de IA para empresas

Proveedores de modelos y tus datos

Qué modelos usamos y qué dejamos por escrito antes de enviarles nada.

• Modelos habituales

  Trabajamos con modelos de OpenAI y de Anthropic (Claude), y con modelos abiertos cuando la privacidad o el coste lo piden.

• Datos y proveedores, por escrito

  Qué datos se envían, a qué proveedor, en qué región y con qué condiciones de uso.

• Entrenamiento de modelos con tus datos

  Depende del proveedor y del tipo de cuenta. Antes de empezar revisamos sus condiciones, elegimos la configuración que evita ese uso cuando el proveedor la ofrece y lo dejamos por escrito. Si los datos no pueden salir de tu infraestructura, valoramos modelos que se ejecuten en ella.

• Datos personales en agentes

  Revisamos qué datos personales toca el agente, con qué proveedor se procesan y dónde, y aplicamos permisos mínimos.

Dónde está publicado: Desarrollo de apps con IA · Agentes de IA para empresas

RGPD y Reglamento europeo de IA

Señalamos los puntos de cumplimiento; no sustituimos el asesoramiento jurídico. El Reglamento europeo de IA es el Reglamento (UE) 2024/1689.

• En la consultoría de IA

  Identificamos qué casos de uso tratan datos personales o pueden caer en las obligaciones del Reglamento europeo de IA, qué proveedores intervienen y qué conviene que revise tu asesor legal, y lo dejamos señalado en el documento.

• En los agentes de IA

  Te señalamos los puntos que debe validar tu asesor de protección de datos.

Dónde está publicado: Consultoría de IA · Agentes de IA para empresas

Cómo está protegido este sitio

Esto describe roxex.es según su código y la política de privacidad, no los proyectos de clientes, que se despliegan en la infraestructura que acordemos.

• Alojamiento y base de datos

  La web, el código del servidor y la base de datos de contactos, compras y sesiones (Cloudflare D1) están en Cloudflare.

• HTTPS y cabeceras de seguridad

  Toda la web se sirve por HTTPS con HSTS y una política de seguridad de contenidos (CSP) que limita de dónde se cargan scripts, estilos e imágenes. Las respuestas de la API llevan sus propias cabeceras restrictivas.

• Formularios contra abusos

  Los formularios de contacto, de recursos, de newsletter y de acceso a Mi cuenta limitan los envíos por minuto e incluyen un campo trampa contra bots. Los contadores caducan a los pocos minutos.

• Panel interno

  Exige usuario, contraseña y un rol con permisos; las contraseñas de los usuarios se guardan como hash. Tras varios intentos fallidos el acceso se bloquea temporalmente, los intentos de acceso quedan registrados y el panel no se cachea, no se indexa y no carga recursos de terceros.

• Mi cuenta sin contraseña

  El enlace de acceso es de un solo uso y caduca a los 15 minutos. De los enlaces y las sesiones solo guardamos una huella (hash SHA-256), nunca el valor original, y la cookie de sesión no es accesible desde JavaScript.

• Pagos

  El pago se hace en la página de Stripe: no recibimos ni guardamos los datos de tu tarjeta. Los avisos de pago de Stripe se aceptan solo con firma válida.

• Medición solo con consentimiento

  Sin herramientas de analítica de terceros. La medición propia solo funciona si la aceptas, sin cookies y sin guardar tu IP en los eventos (solo un contador anti-abuso que caduca en minutos).

Dónde está publicado: Política de privacidad

En preparación

Preguntas habituales de un alta de proveedor que todavía no tienen respuesta publicada. Hasta que la tengan, no las damos por hechas.

• Cuándo firmamos un contrato de encargado del tratamiento (art. 28 RGPD) si el proyecto toca datos personales de tus clientes.
• Tiempos de respuesta ante incidencias durante el soporte y los servicios mensuales.
• Garantías de cada transferencia internacional de los proveedores de este sitio y ubicación del servidor de automatizaciones internas.
• Cómo cubrimos la capacidad y la continuidad de un estudio pequeño dirigido por su fundador.