Seguridad, Compliance y Transparencia

1. Postura de Seguridad

Los datos en tránsito se protegen con TLS 1.3. Los datos en reposo se cifran con AES-256. Todo acceso a datos de clientes se registra, está limitado al principio de mínimo privilegio y se revisa de forma continua.

Los sistemas de producción exigen autenticación multifactor. El acceso administrativo requiere llaves de seguridad en hardware. El acceso de ingeniería a datos de producción es temporal y auditado.

Los datos de clientes procesados por las APIs Especialistas de Brainiall (Speech AI, NLP Suite, Image Processing) no se utilizan para entrenar modelos de Brainiall ni de terceros. Los contratos enterprise incluyen cláusula explícita de no-entrenamiento.

2. Compliance y Certificaciones

Las plataformas de Brainiall se diseñaron para cumplir con LGPD (Ley nº 13.709/2018, Brasil), GDPR (UE) y CCPA (California) cuando sea aplicable a la relación contractual.

Auditoría SOC 2 Type II: en curso. Fecha prevista del informe: Q4 2026. El período de observación comenzó en Q2 2026. Cartas de pre-auditoría disponibles bajo NDA.

Certificación ISO 27001: roadmap con meta Q2 2027.

Evaluación IEC 62443 (seguridad OT): en curso para AI Autopilot. Seguridad funcional IEC 61508: Autopilot opera como capa advisory — no reemplaza sistemas instrumentados de seguridad (SIS) certificados.

Un deck actualizado de compliance y un security whitepaper están disponibles bajo NDA. Solicítelos en security@brainiall.com.

3. Residencia de Datos

Clientes brasileños: la indexación y la inferencia se ejecutan en la región AWS São Paulo (sa-east-1) por defecto, en cumplimiento con la LGPD. Ningún prompt o dato enviado por el cliente sale del territorio brasileño sin configuración explícita.

Speech AI y endpoints NLP: regiones EE. UU. y UE disponibles. Los clientes pueden solicitar fijación de región en el momento del contrato.

AI Autopilot: opciones de despliegue incluyen nube del cliente (cualquier región), appliances edge on-premise e instalaciones air-gapped. Ningún dato de telemetría de planta sale de la red del cliente sin configuración explícita.

4. Subprocesadores

Los subprocesadores a continuación apoyan las operaciones de Brainiall a la fecha de esta página. Los clientes enterprise reciben aviso previo de 30 días sobre nuevos subprocesadores, conforme al DPA.

Amazon Web Services (AWS) — compute, almacenamiento, base de datos gestionada. Regiones: São Paulo (sa-east-1), Virginia (us-east-1), Irlanda (eu-west-1).

Vercel — entrega de activos estáticos para páginas de marketing (no procesa PII de clientes).

Microsoft Azure — redundancia y cargas de inferencia seleccionadas.

Latitude — capa de AI gateway y observabilidad (backend de app.brainiall.com).

Lista actualizada de subprocesadores disponible bajo NDA.

5. Divulgación Responsable

La investigación de seguridad responsable es bienvenida. Reporte vulnerabilidades a security@brainiall.com con pasos de reproducción y evaluación de impacto.

Contacto de seguridad en formato machine-readable publicado en /.well-known/security.txt (RFC 9116). Fingerprint actual de la llave PGP disponible a pedido en security@brainiall.com — publicación en servidor público de llaves prevista para Q3 2026.

Plazo objetivo de triage: 2 días hábiles. Plazo objetivo de remediación para issues críticos: 30 días. Un programa público de bug bounty está en el roadmap para 2026.

Por favor, no realice pruebas destructivas, ingeniería social contra empleados de Brainiall ni pruebas sobre datos de clientes en producción. Las pruebas en entornos públicos de demostración y sobre superficies de API documentadas son aceptables.

6. Control de Acceso y Gobernanza del Cliente

Los tenants enterprise soportan SSO vía SAML 2.0 y aprovisionamiento SCIM. Las claves de API tienen alcance por proyecto y pueden rotarse o revocarse desde el dashboard del cliente.

Control de acceso basado en roles (RBAC) con permisos granulares para administrador, desarrollador y visualizador. Los logs de auditoría para el cliente se exportan en JSON y CSV.

7. Continuidad del Negocio y Respuesta a Incidentes

Los servicios en producción tienen SLA objetivo de 99,9% de uptime (APIs Especialistas — Speech AI, NLP Suite, Image Processing). El AI Autopilot tiene objetivo de 99,95% de disponibilidad para salida advisory; los sistemas de control del cliente siguen siendo la autoridad final en caso de falla.

La respuesta a incidentes es 24/7 vía equipo de guardia. Los clientes enterprise son notificados en hasta 2 horas tras la confirmación de incidentes que afecten sus datos o disponibilidad. Estado actual: vea /status.

Backups: las configuraciones del cliente y los artefactos generados se respaldan cada hora con replicación cross-region.

8. Contacto

Seguridad y confianza: security@brainiall.com

Privacidad y protección de datos (DPO / Encargado): privacy@brainiall.com

Legal enterprise y contratos: legal@brainiall.com