Seguridad y protección de datos

Todo lo que aparece aquí ya es vinculante — es el resumen, en lenguaje de comprador, de los compromisos escritos en nuestro Acuerdo de Tratamiento de Datos y nuestro Acuerdo de Nivel de Servicio. No hay ninguna promesa nueva: es el mismo texto, en el orden en que un comprador realmente pregunta.

• Cifrado. TLS 1.2+ en tránsito, AES-256 en reposo.
• Control de acceso. Acceso por roles, MFA en sistemas de producción, mínimo privilegio por defecto.
• Seguridad de red. WAF de Cloudflare, protección DDoS, lista blanca de IP para acceso administrativo.
• Monitorización. Registro de auditoría, detección de intrusiones, alertas automáticas de anomalías.
• Copias de seguridad. Diarias y cifradas, retención de 30 días, restauración probada cada trimestre.
• Personal. Verificación de antecedentes, acuerdos de confidencialidad firmados, formación de seguridad obligatoria.
• Proveedores. Revisión de seguridad y DPA firmado con cada subencargado.
• Respuesta a incidentes. Manual documentado, guardia 24/7, post-mortem por escrito.
• Certificación. En proceso hacia SOC 2 Type II.

Las afirmaciones de seguridad son fáciles de escribir y difíciles de comprobar. Estas se comprueban en treinta segundos: abre las herramientas de desarrollo en cualquier página de este sitio, o ejecuta curl -I https://caliradi.ai/, y lee las cabeceras de respuesta:

• Somos encargados del tratamiento, no intermediarios de datos. Tus datos de clientes se usan para operar tu servicio y nada más. No los vendemos ni entrenamos nada con ellos para otros clientes.
• Exporta cuando quieras. Contactos, conversaciones, resultados de campaña y métricas son exportables desde tu panel.
• Retención tras la baja. Los datos se conservan 90 días después de finalizar tu plan; después se devuelven o eliminan, salvo obligación legal.
• Nada sale en tu nombre sin revisión. El contenido saliente se redacta como borrador para tu aprobación antes de enviarse o publicarse, y cada envío queda con marca de tiempo en el registro de auditoría.

La lista completa — alojamiento y CDN, inferencia de IA, la plataforma de registros de clientes, Stripe para pagos, Cloudflare para seguridad de red y DNS, y correo transaccional — se publica con su ubicación en la Sección 7 del DPA.

• Te avisamos con 14 días de antelación antes de añadir o sustituir cualquier subencargado, y puedes oponerte por motivos razonables de protección de datos.
• Los datos de tarjeta nunca llegan a nuestros servidores. Los pagos los procesa Stripe; no almacenamos números de tarjeta.
• Las transferencias fuera del EEE, Reino Unido o Suiza se amparan en las Cláusulas Contractuales Tipo de la UE (Módulo 2, responsable a encargado) y en el Addendum británico de transferencia internacional.

• Notificación de brechas en 72 horas cuando sea factible y, en todo caso, sin demora indebida.
• Objetivo de disponibilidad mensual del 99,5%, con créditos de servicio si no se cumple — la fórmula y la tabla están en el SLA.
• Objetivo de tiempo de recuperación: 4 horas para el sistema de producción tras un incidente mayor.
• Ventanas de mantenimiento: domingos de 2 a 4 de la madrugada (hora del Pacífico), avisadas con 24 horas de antelación si pueden afectar la disponibilidad.

Nuestra analítica de tráfico no usa cookies: el script de estadísticas que se ejecuta en cada visita no instala cookies, no almacena la IP y no hace seguimiento entre sitios; y si tu navegador envía la señal Global Privacy Control, directamente no lo cargamos. Está implementado en el código, no solo en una política. Cualquier otra herramienta de analítica o publicidad que figure en nuestra Política de cookies solo instala cookies después de que aceptes el aviso de cookies; hasta entonces no se carga. Detalles en Privacidad y Cookies. Cumplimiento conforme a GDPR, CCPA y PIPL.