01 · Seguridad
Cómo protegemos tus datos.
ERGON guarda información sensible de obra. Listamos acá lo que aplicamos hoy, sin marketing, con detalle suficiente para que un equipo de IT pueda auditarlo.
01
Cifrado y autenticación
- Transporte cifrado TLS 1.2 o superior en todos los dominios. Certificados emitidos por Let's Encrypt y Cloudflare Universal SSL, renovación automática.
- Contraseñas guardadas con bcrypt (factor 12), nunca en texto plano.
- Login con Google OAuth 2.0 opcional. El identificador devuelto por Google se enlaza con la cuenta local; nunca recibimos ni almacenamos tu password de Google.
- Sesión: un token aleatorio de 256 bits que vive en el servidor y vence a los 7 días, en una cookie
HttpOnly; SameSite=Lax; todo pedido por http se redirige a HTTPS. El inicio de sesión con Google lo emite Supabase, con tokens firmados con clave asimétrica (ES256). - Rate limiting por IP y por bucket: auth 10/min, chat IA 20/min, upload 30/min, default 60/min. Ventana deslizante in-memory.
02
Acceso a infraestructura
- Acceso a los paneles administrativos de producción (Supabase, Railway, Cloudflare) restringido a personal autorizado.
- Secrets gestionados como variables de entorno en Railway; nunca commiteados a Git.
- Logs de acceso a infraestructura retenidos por el proveedor según sus políticas.
03
Backups y disponibilidad
- Backup diario de la base de datos, comprimido y guardado fuera de Railway, en Cloudflare R2.
- Se conservan los últimos 14 backups diarios y uno por mes de los últimos 12 meses. Con un backup por día, ante una falla de la base de datos se pierde la carga desde el último backup: hasta unas 24 horas.
- Las fotos y los documentos se guardan en un volumen persistente de Railway.
04
Sub-procesadores declarados
Toda la lista vigente está en la Política de privacidad. Cambios materiales se notifican con 30 días de anticipación.
| Proveedor | Función | Ubicación |
|---|---|---|
| Supabase | Inicio de sesión con Google (OAuth) e invitaciones por email | São Paulo, Brasil |
| Railway | Servidor, base de datos y archivos (fotos, documentos) | Estados Unidos |
| Cloudflare | DNS, CDN, landing, email routing y copias de respaldo de la base de datos (R2) | Red global anycast |
| Anthropic | Modelos de IA del agente (chat, informes, análisis de partes diarios, importación y clasificación de planillas e imágenes) | Estados Unidos |
| Google Cloud | Inicio de sesión opcional (OAuth) y conectores opcionales de Calendar y Drive | Estados Unidos / global |
| Meta (WhatsApp) | Canal de activación de planes y envío de comprobantes de pago | Estados Unidos / global |
05
Datos del Cliente
- Cada Empresa Cliente accede únicamente a sus propios datos. El acceso a cada obra se valida contra la empresa de tu cuenta.
- Exportación en cualquier momento desde el panel: el presupuesto en Excel y los datos de gestión de la obra (avance, contratos, inspecciones, cambios de alcance) en un archivo .ergon.json.
- Eliminación programada: 30 días en solo lectura tras la baja de la cuenta, luego borrado permanente.
06
Inteligencia artificial y Datos del Cliente
ERGON no usa los Datos del Cliente para entrenar modelos de inteligencia artificial, propios ni de terceros. Eso incluye lo que le escribís o enviás al agente y sus respuestas.
Para responder, ERGON envía cada consulta al proveedor de modelos de IA declarado en la tabla de sub-procesadores. Fuera de esos sub-procesadores, los Datos del Cliente no se comparten con terceros.
Para mejorar el producto medimos el uso de las funcionalidades con métricas agregadas y anonimizadas. Detalle en la Política de privacidad §3 y en los Términos §9.
07
Incidentes
En caso de incidente que afecte datos personales, notificamos a las Empresas Cliente impactadas dentro de 72 horas de detectado el evento, con la información disponible y un plan de mitigación. Reportes de vulnerabilidad: soporte@ergonpy.com.
¿Tenés dudas?
Equipos de IT con preguntas técnicas o procesos de compliance: escribinos.
Contactarnos