Seguridad, Compliance y Transparencia

1. Postura de Seguridad

Los datos en tránsito se protegen con TLS 1.3. Los datos en reposo se cifran con AES-256. Todo acceso a datos de clientes se registra, está limitado al principio de mínimo privilegio y se revisa de forma continua.

Los sistemas de producción exigen autenticación multifactor. El acceso administrativo requiere llaves de seguridad en hardware. El acceso de ingeniería a datos de producción es temporal y auditado.

Los datos de clientes procesados por las APIs Especialistas de Brainiall (Speech AI, NLP Suite, Image Processing) no se utilizan para entrenar modelos de Brainiall ni de terceros. Los contratos enterprise incluyen cláusula explícita de no-entrenamiento.

2. Compliance y Certificaciones

Las plataformas de Brainiall se diseñaron para cumplir con LGPD (Ley nº 13.709/2018, Brasil), GDPR (UE) y CCPA (California) cuando sea aplicable a la relación contractual.

Auditoría SOC 2 Type II: meta para el primer trimestre de 2027. El período de observación comenzó en Q2 2026. Cartas de pre-auditoría disponibles bajo NDA.

Certificación ISO 27001: roadmap con meta Q2 2027.

Los despliegues respetan las zonas y conductos definidos por la planta (IEC 62443-3-2). Los sistemas instrumentados de seguridad (IEC 61511 / ISA-84) y los enclavamientos permanecen independientes y nunca se tocan.

Un deck actualizado de compliance y un security whitepaper están disponibles bajo NDA. Solicítelos en security@brainiall.com.

3. Residencia de Datos

Clientes brasileños: procesamiento de datos en cumplimiento con la LGPD. Ningún prompt o dato enviado por el cliente sale del territorio brasileño sin configuración explícita.

Speech AI y endpoints NLP: regiones EE. UU. y UE disponibles. Los clientes pueden solicitar fijación de región en el momento del contrato.

AI Autopilot: opciones de despliegue incluyen nube del cliente (cualquier región), appliances edge on-premise e instalaciones air-gapped. Ningún dato de telemetría de planta sale de la red del cliente sin configuración explícita.

4. Subprocesadores

Alojamiento del sitio: Oracle Cloud Infrastructure. Correo electrónico: Microsoft 365. Analítica web: Plausible. Los sistemas que procesan datos de clientes se ejecutan en la nube del cliente o en sus propias instalaciones, según se defina en cada contrato y conste en el DPA.

Lista actualizada de subprocesadores disponible bajo NDA.

5. Divulgación Responsable

La investigación de seguridad responsable es bienvenida. Para reportar una vulnerabilidad o un incidente, escriba a contactus@brainiall.com. Llave PGP disponible a pedido. El horario de soporte se define en cada contrato.

Por favor, no realice pruebas destructivas, ingeniería social contra empleados de Brainiall ni pruebas sobre datos de clientes en producción. Las pruebas en entornos públicos de demostración y sobre superficies de API documentadas son aceptables.

6. Control de Acceso y Gobernanza del Cliente

Los tenants enterprise soportan SSO vía SAML 2.0 y aprovisionamiento SCIM. Las claves de API tienen alcance por proyecto y pueden rotarse o revocarse desde el dashboard del cliente.

Control de acceso basado en roles (RBAC) con permisos granulares para administrador, desarrollador y visualizador. Los logs de auditoría para el cliente se exportan en JSON y CSV.

7. Continuidad del Negocio y Respuesta a Incidentes

Los servicios en producción y APIs Especialistas (Speech AI, NLP Suite, Image Processing) se monitorean activamente. Para AI Autopilot, los sistemas de control del cliente siguen siendo la autoridad final en caso de falla.

Los horarios de soporte y la respuesta a incidentes se definen en cada contrato. Los incidentes confirmados que afecten datos de clientes se notifican según el contrato y el DPA. Estado actual: vea /status.

8. Contacto

Seguridad y confianza: security@brainiall.com

Privacidad y protección de datos (DPO / Encargado): privacy@brainiall.com

Legal enterprise y contratos: legal@brainiall.com