Centro de confianza
Resumen público de la seguridad, el acceso, los proveedores y la disponibilidad de NexaFile. Esta página no constituye un SLA contractual.
Controles de acceso
- Los espacios de trabajo se separan por organización; los roles Owner, Admin y Member limitan las funciones según cada rol.
- Los documentos son privados para quien los crea, salvo que se asignen o compartan expresamente en el espacio de trabajo.
- Se admiten MFA y códigos de recuperación; los códigos se almacenan con hash y los secretos de MFA se cifran en la base de datos.
Cifrado y transferencia de datos
Las conexiones del navegador en producción usan HTTPS. Las contraseñas se procesan con scrypt. Las credenciales OAuth y los secretos MFA guardados en la base de datos se cifran con la clave de la aplicación. Según la configuración de producción actual, los documentos se cifran en la aplicación antes de subirlos al almacenamiento de objetos.
Verificación de resultados de IA
Cuando es posible, NexaFile vincula los hallazgos importantes con las páginas de origen, muestra la cobertura y confianza de las fuentes y marca para revisión humana los hallazgos sin pruebas suficientes. Esto no garantiza que la IA siempre acierte.
Proveedores de servicios
NexaFile utiliza proveedores de confianza para operar la plataforma, procesar pagos, ofrecer funciones de IA y conectar servicios en la nube. Los proveedores implicados dependen de las funciones que el cliente utilice.
- DigitalOcean: infraestructura de aplicaciones y almacenamiento de datos.
- OpenAI API: procesamiento con IA del contenido que los usuarios envían expresamente para analizar.
- Polar: pago alojado para procesar cobros, impuestos y recibos de las operaciones aplicables; Polar actúa como comerciante registrado.
- Resend: correos de verificación de cuenta, seguridad y notificaciones del servicio.
- Google: inicio de sesión, Google Drive y servicios de Google conectados expresamente por el usuario.
- Microsoft: inicio de sesión y conexiones con OneDrive/SharePoint según los permisos concedidos por el usuario o la organización.
- Cloudflare: DNS, protección perimetral y protección contra tráfico automatizado o de bots.
NexaFile también ofrece API y herramientas para integrar sistemas. Los clientes pueden usar herramientas como Postman para llamar a la API, pero no son proveedores predeterminados de tratamiento de datos de NexaFile.
Ver detalles de tratamiento de datos, seguridad y privacidad →
Revisar detalles del tratamiento de datos.
Operaciones e incidencias
La salud y la preparación se supervisan periódicamente; las incidencias públicas se registran en la página de Estado. NexaFile usa registros, límites de frecuencia, auditorías y procedimientos de respuesta. Ningún sistema puede prometer seguridad absoluta.
Disponibilidad y SLA
NexaFile no publica un SLA general de disponibilidad ni un compromiso de créditos para todos los planes. Los SLA de proveedores de infraestructura no son SLA de NexaFile. Si un pedido empresarial incluye otro SLA, solo se aplica el documento firmado.
Alcance público de los controles
| Área | Control publicado | Límite de la declaración |
|---|---|---|
| Identidad y acceso | MFA · Passkeys · RBAC · audit records | No implica una certificación de terceros. |
| Datos | HTTPS · encrypted application secrets · workspace isolation | La ubicación y conservación concretas dependen de la configuración, los proveedores y el contrato. |
| Operaciones | health/readiness monitoring · rate limiting · incident records | Las mediciones observadas no son un SLA contractual. |
Subencargados y flujo de datos
La lista anterior identifica a los proveedores publicados y sus fines principales. El alcance real depende de las funciones utilizadas; no todos los documentos se envían a todos los proveedores.
NexaFile no afirma tener SOC 2, ISO 27001 ni certificaciones similares sin un informe o certificado independiente vigente.
Gobernanza, pruebas y actualizaciones
- Las declaraciones públicas describen controles operativos y no deben interpretarse como una certificación, un SLA o una garantía sin firmar.
- Los cambios importantes en proveedores, alcance OAuth, conservación o tratamiento deben reflejarse en el Centro de confianza o en el aviso legal aplicable.
- Los clientes empresariales pueden solicitar un DPA, un cuestionario de seguridad o pruebas disponibles; la divulgación queda sujeta a confidencialidad y al acuerdo aplicable.
Modelo de responsabilidad compartida
NexaFile protege la plataforma y sus controles. Los clientes son responsables del ciclo de vida de usuarios, permisos, seguridad de dispositivos y cuentas en la nube, selección legal de datos, revisión de resultados de IA y revocación de accesos innecesarios.
Informar de un problema de seguridad
Envía una descripción, la hora, la URL afectada y los pasos para reproducirlo; no envíes contraseñas, claves de API ni documentos sensibles por correo. [email protected]
