Resumen de Seguridad de SoluCortex
1. Introducción
SoluCortex está diseñado como una plataforma de software como servicio para administrar memoria técnica estructurada de proyectos de software. Debido a que la plataforma puede almacenar contexto de proyectos, información de arquitectura, decisiones técnicas, riesgos, convenciones, historial de errores, deuda técnica, descripciones de módulos sensibles, integraciones externas y metadatos relacionados, la seguridad es una parte importante del diseño, operación y mejora de SoluCortex.
Este Resumen de Seguridad explica, a alto nivel, algunas de las prácticas de seguridad, salvaguardas y principios operacionales utilizados por SoluAI en relación con SoluCortex.
Este documento se proporciona con fines de transparencia e información. No reemplaza los Términos y Condiciones de SoluCortex, la Política de Privacidad, un Acuerdo de Tratamiento de Datos ni cualquier acuerdo escrito separado con SoluAI.
2. Enfoque de Seguridad
SoluAI aplica medidas técnicas y organizativas comercialmente razonables destinadas a proteger SoluCortex, el Contenido del Cliente, datos de Cuenta, memorias de proyecto, acceso API y sistemas relacionados contra acceso no autorizado, uso indebido, alteración, divulgación, interrupción o destrucción.
Las medidas de seguridad podrán evolucionar con el tiempo a medida que cambien la plataforma, infraestructura, proveedores, riesgos y requisitos técnicos.
SoluAI podrá actualizar, mejorar o reemplazar controles de seguridad específicos de tiempo en tiempo con el fin de mantener o mejorar la seguridad, confiabilidad e integridad del Servicio.
3. Protección de Cuenta y Acceso
SoluCortex utiliza controles de acceso y mecanismos de autenticación diseñados para ayudar a asegurar que solo Usuarios autorizados puedan acceder a Cuentas, Espacios de Trabajo, proyectos y Contenido del Cliente relacionado.
Los Clientes son responsables de administrar sus Usuarios, permisos, roles, credenciales y configuraciones de acceso.
Prácticas recomendadas para Clientes:
- utilizar contraseñas robustas y únicas;
- limitar el acceso solo a Usuarios autorizados;
- eliminar Usuarios que ya no requieran acceso;
- proteger las cuentas de correo utilizadas para autenticación;
- evitar compartir credenciales;
- revisar permisos periódicamente;
- notificar oportunamente a SoluAI ante sospechas de acceso no autorizado.
4. Protección de Llaves API
SoluCortex podrá proporcionar acceso API para que los Clientes conecten memorias de proyecto, herramientas externas, automatizaciones o flujos de trabajo asistidos por IA.
SoluCortex mantiene registros auditables de creación, aprobación, recuperación y archivo de memorias. La gobernanza de memorias a nivel de proyecto puede configurarse para permitir o bloquear la autoaprobación, pero todas las decisiones resultantes quedan registradas con la política aplicada al momento de la creación.
Las llaves API no están destinadas a ser almacenadas en texto plano después de su creación. SoluCortex podrá almacenar representaciones protegidas de las llaves API o utilizar otros mecanismos adecuados para que las llaves API originales normalmente no puedan ser recuperadas después de su generación.
Los Clientes son responsables de proteger las llaves API y tokens de acceso.
Prácticas recomendadas:
- almacenar llaves API de forma segura;
- nunca exponer llaves API en repositorios públicos;
- rotar llaves cuando se sospeche compromiso;
- utilizar llaves API separadas para distintos proyectos o entornos cuando esté disponible;
- revocar llaves no utilizadas;
- limitar el acceso a llaves API solo a personal autorizado.
5. Aislamiento por Proyecto
SoluCortex está diseñado para soportar separación a nivel de proyecto de memorias y contexto.
Los controles de aislamiento por proyecto están destinados a ayudar a asegurar que Usuarios, llaves API o integraciones solo puedan acceder a los proyectos, Espacios de Trabajo, memorias y recursos para los cuales están autorizados.
Los Clientes deberían configurar cuidadosamente el acceso a proyectos, permisos de Usuarios y alcances de integraciones para reducir el riesgo de acceso no autorizado o exposición accidental.
6. Salvaguardas de Sesión y Autenticación
SoluCortex podrá utilizar mecanismos de protección de sesión diseñados para reducir el riesgo de reutilización no autorizada, falsificación o acceso fuera del contexto previsto.
Dichos mecanismos podrán incluir manejo seguro de sesiones, protección de tokens, controles de expiración, firma, cifrado u otras salvaguardas apropiadas para la arquitectura del Servicio.
Los Usuarios deberían evitar utilizar SoluCortex desde dispositivos no confiables, computadores públicos o redes inseguras cuando accedan a información sensible de proyectos.
7. Rate Limiting y Prevención de Abuso
SoluCortex podrá aplicar límites de frecuencia, umbrales de uso, controles de solicitudes u otras salvaguardas para proteger el Servicio contra abuso, uso excesivo, intentos de fuerza bruta, scraping, uso automatizado indebido, actividad de denegación de servicio o sobrecarga de infraestructura.
SoluAI podrá monitorear, restringir, limitar, bloquear, suspender o deshabilitar tráfico, llaves API, Cuentas, Espacios de Trabajo, Usuarios, integraciones o funcionalidades cuando sea razonablemente necesario para proteger la seguridad, disponibilidad, rendimiento o integridad del Servicio.
8. Protección SSRF y Solicitudes Externas
Cuando SoluCortex soporte integraciones, webhooks, endpoints externos o solicitudes automatizadas, SoluAI podrá implementar salvaguardas destinadas a reducir el riesgo de server-side request forgery y abusos relacionados.
Dichas salvaguardas podrán incluir bloquear o restringir solicitudes a rangos de IP privados, direcciones loopback, endpoints de metadata cloud u otros recursos internos cuando corresponda.
Los Clientes son responsables de asegurar que cualquier endpoint externo, URL de webhook o integración que configuren sea seguro, autorizado y mantenido correctamente.
9. Protección de Ambientes Productivos
SoluAI realiza esfuerzos comercialmente razonables para asegurar que los ambientes de producción no expongan información de debug, stack traces, variables de entorno, configuración interna o información sensible del sistema a Usuarios no autorizados, navegadores o respuestas de API.
Los errores internos, logs e información de diagnóstico están destinados a ser gestionados mediante procesos operacionales controlados.
10. Contenido del Cliente e Información Sensible
SoluCortex está diseñado para administrar memoria técnica estructurada. No está destinado a utilizarse como gestor de contraseñas, bóveda de secretos, sistema regulado de registros médicos, sistema de almacenamiento de tarjetas de pago, archivo legal, sistema de registros financieros o repositorio especializado para datos altamente regulados, salvo que SoluAI lo indique expresamente por escrito.
Los Clientes deberían evitar cargar información sensible innecesaria, incluyendo:
- contraseñas;
- llaves privadas;
- secretos de producción;
- tokens de acceso;
- datos de tarjetas de pago;
- identificadores gubernamentales;
- información de salud;
- datos biométricos;
- datos de menores;
- credenciales de cuentas financieras;
- información confidencial de terceros que el Cliente no esté autorizado a procesar.
Los Clientes son responsables de asegurar que cualquier información cargada en SoluCortex sea lícita, autorizada y apropiada para el Servicio.
11. Infraestructura y Proveedores Externos
SoluCortex podrá depender de proveedores externos de infraestructura, hosting, bases de datos, inteligencia artificial, pagos, correo electrónico, analítica, monitoreo, logging, seguridad o soporte.
SoluAI realiza esfuerzos comercialmente razonables para seleccionar proveedores adecuados para la operación del Servicio y asegurar que los proveedores relevantes estén sujetos a obligaciones contractuales, de confidencialidad, privacidad o seguridad apropiadas según la naturaleza del servicio.
La disponibilidad, rendimiento y seguridad de SoluCortex podrán depender en parte de Servicios de Terceros.
12. Respaldos y Recuperación
SoluAI podrá mantener respaldos, snapshots, registros u otras copias del Contenido del Cliente, datos de Cuenta y datos del sistema para recuperación ante desastres, continuidad operacional, seguridad, depuración, cumplimiento legal, integridad operacional y restauración del servicio.
Los respaldos no reemplazan las propias prácticas de respaldo, exportación o archivo del Cliente.
Los Clientes deberían mantener sus propias copias de cualquier información que necesiten preservar independientemente de SoluCortex.
La retención y eliminación de respaldos se gestiona conforme a los procesos operacionales de SoluAI y los Términos y Política de Privacidad aplicables.
13. Monitoreo y Logging
SoluAI podrá recopilar logs, metadatos de solicitudes, datos de rendimiento, reportes de error, eventos de seguridad y actividad del sistema para operar, asegurar, resolver problemas, mejorar y proteger SoluCortex.
El monitoreo y logging podrá utilizarse para:
- detectar actividad sospechosa;
- investigar errores o incidentes;
- medir rendimiento;
- prevenir abuso;
- hacer cumplir límites de uso;
- apoyar operaciones de seguridad;
- mantener confiabilidad del servicio.
14. Incidentes de Seguridad
Si SoluAI toma conocimiento de un incidente de seguridad que afecte materialmente el Contenido del Cliente o datos personales tratados mediante SoluCortex, SoluAI adoptará medidas comercialmente razonables para investigar, contener y mitigar el incidente.
Cuando sea requerido por la ley aplicable, acuerdos aplicables o la evaluación interna de SoluAI, SoluAI notificará a los Clientes o Usuarios afectados sin demora indebida, considerando la naturaleza del incidente, información disponible, necesidades de seguridad, requisitos legales y esfuerzos de remediación.
15. Reporte de Vulnerabilidades
Los Clientes, Usuarios e investigadores de seguridad deberían reportar sospechas de vulnerabilidades, debilidades de seguridad o malas configuraciones a SoluAI mediante los canales de contacto puestos a disposición por SoluAI.
Salvo autorización expresa y por escrito de SoluAI, Clientes, Usuarios y terceros no deberán realizar pruebas de penetración, escaneo de vulnerabilidades, pruebas de carga, pruebas de estrés, scraping, sondeo automatizado, ingeniería inversa u otras pruebas de seguridad similares contra SoluCortex.
Los reportes deben realizarse de forma responsable y no deben implicar explotación, divulgación, acceso, modificación, destrucción, extracción o uso indebido de datos, Cuentas, sistemas o funcionalidades.
16. Responsabilidades de Seguridad del Cliente
La seguridad es una responsabilidad compartida.
SoluAI es responsable de implementar salvaguardas comercialmente razonables para la plataforma y sistemas relacionados bajo su control.
Los Clientes y Usuarios son responsables de:
- proteger credenciales y dispositivos;
- administrar Usuarios y permisos;
- asegurar llaves API y tokens;
- configurar integraciones de forma segura;
- asegurar endpoints externos y webhooks;
- evitar la carga innecesaria de información sensible;
- mantener respaldos de datos importantes;
- cumplir leyes aplicables, políticas internas y obligaciones frente a terceros;
- reportar oportunamente sospechas de acceso no autorizado o incidentes de seguridad.
17. Ausencia de Seguridad Absoluta
Ningún software, servicio cloud, red, método de almacenamiento, transmisión, integración, sistema de inteligencia artificial o servicio basado en internet puede garantizarse como completamente seguro, ininterrumpido o libre de errores.
Este Resumen de Seguridad describe prácticas generales de seguridad y no crea garantía absoluta, warranty, SLA o certificación alguna.
El uso de SoluCortex permanece sujeto a los Términos y Condiciones de SoluCortex, la Política de Privacidad y cualquier acuerdo escrito aplicable con SoluAI.
18. Contacto
Para preguntas relacionadas con seguridad o reportes de vulnerabilidades, contacte a:
SoluAI SpA
Contacto de Seguridad SoluCortex
Email: legal@soluai.cl
Santiago, Chile