Seguridad de la Información

1. Nuestro enfoque

Seguimos buenas prácticas de mercado inspiradas en referencias reconocidas del sector, como la familia ISO 27001 y el NIST 800-53, y principios de security by design, con la seguridad considerada desde la concepción de cada funcionalidad, no como una capa añadida posteriormente.

Tangerin AI es una empresa en crecimiento. No afirmamos poseer certificaciones formales propias (como ISO 27001 o SOC 2) en este momento. Cuando las obtengamos, las publicaremos aquí. Los subencargados de infraestructura que utilizamos (Sección 9) poseen certificaciones propias, que cubren su infraestructura, no la operación de Tangerin AI.

2. Gestión de acceso y autenticación

• Aislamiento multi-tenant mediante Row Level Security (RLS) en la base de datos: cada organización solo accede a sus propios datos, reforzado a nivel de la base de datos, no solo en la aplicación.
• Autenticación del agente mediante clave de API exclusiva por organización, rotable en cualquier momento por el administrador.
• Principio de mínimo privilegio para el acceso interno de colaboradores de Tangerin AI a los datos de clientes, restringido a quienes lo necesitan para prestar soporte o mantenimiento.
• Registro de auditoría de todas las acciones administrativas realizadas en la plataforma, con autor, acción y hora.

3. Cifrado

• En tránsito: toda comunicación entre el agente, el panel web y la API se realiza mediante HTTPS/TLS 1.2 o superior.
• En reposo: datos almacenados de forma cifrada en la infraestructura de la base de datos.
• Contraseñas: nunca almacenadas en texto plano; gestionadas con hash (bcrypt) por el proveedor de autenticación.
• Pagos: se realizan en páginas alojadas por Asaas y Stripe; los datos de tarjeta no pasan por nuestros servidores.

4. Seguridad de red e infraestructura

La plataforma está alojada en infraestructura gestionada (Vercel para la aplicación web/CDN, Supabase para la base de datos y la autenticación), que proporciona aislamiento de red, protección contra DDoS en el borde y actualización continua de los sistemas subyacentes. No operamos servidores físicos propios.

5. Seguridad en el ciclo de desarrollo

• La verificación de tipos, las pruebas automatizadas y el lint bloquean la integración de código con problemas conocidos antes de cualquier deploy en producción.
• Revisión de código en los cambios relevantes antes de la publicación.
• Mantenemos un registro interno de las vulnerabilidades identificadas (internas o reportadas por terceros) y su historial de corrección.
• Los entornos de desarrollo y producción están segregados; las credenciales de producción no se usan en entornos de prueba.

6. Continuidad y recuperación ante desastres

Utilizamos proveedores de infraestructura con garantías propias de disponibilidad y recuperación ante desastres. La base de datos cuenta con una rutina de copia de seguridad automática gestionada por el subencargado, que permite la restauración en caso de pérdida de datos. Aún no hemos publicado un RTO/RPO formal. Es un elemento de nuestra hoja de ruta de madurez de seguridad.

7. Respuesta a incidentes de seguridad

En caso de un incidente de seguridad que involucre datos de clientes, Tangerin AI notifica a la organización contratante en un plazo de 72 horas tras tener conocimiento del incidente, según se detalla en la página de LGPD.

¿Sospecha de un incidente o una vulnerabilidad? Escriba a seguranca@tangerinai.com.

8. Divulgación responsable de vulnerabilidades

Si usted es un investigador de seguridad e identificó una vulnerabilidad en nuestros sistemas, tenemos un canal y un proceso dedicados: consulte nuestra Política de Divulgación Responsable de Vulnerabilidades.

9. Subencargados y certificaciones de terceros

Utilizamos los siguientes subencargados esenciales para la operación del servicio:

Si añadimos nuevos subencargados esenciales, notificaremos a los administradores de las organizaciones contratantes con al menos 15 días de antelación, según se describe también en nuestra Política de Privacidad.

10. Contacto