Datos soberanos por diseño.
KS-Agents maneja datos de recursos humanos que son, por definición, sensibles: puntuaciones de personalidad, entrevistas de salida, comentarios de pares, carencias de habilidades. Lo tratamos como tal. Esta página documenta cada elección arquitectónica, cada marco legal que cumplimos y los límites que aún no cumplimos, para que pueda evaluar su idoneidad antes de firmar.
Seis compromisos que no cedemos.
Estos no son eslóganes de marketing. Cada principio a continuación se corresponde con una elección arquitectónica o contractual específica. Cuando aún no podamos cumplir con un principio, lo encontrará en la sección de límites honestos al final.
La soberanía de los datos primero
Tu contenido propietario (transcripciones de entrevistas, respuestas de encuestas, knowledge assets) está aislado lógicamente por app y por tenant. No agrupamos los datos de clientes en corpus compartidos.
Sin entrenamiento con datos privados
No entrenamos nuestros modelos públicos con tu espacio de trabajo privado. Los proveedores de LLM (OpenAI, Google Gemini, OpenRouter) operan bajo las políticas de no-entrenamiento de sus planes enterprise.
Cifrado en reposo y en tránsito
AES-256 en reposo para todo el almacenamiento sensible. TLS 1.2+ en tránsito. Credenciales del object storage rotadas; los secrets nunca se suben (commit) al control de versiones.
Derecho a eliminar & exportar
Artículos 15 (acceso), 17 (supresión) y 20 (portabilidad) del RGPD disponibles mediante autoservicio en la aplicación, más una vía de escalado documentada a través de nuestro Data Protection Officer.
Subprocesadores auditables
Una lista pública con seguimiento de versiones de cada subprocesador que utilizamos, dónde almacenan datos y qué hacen. Notificaciones cuando cambia la lista.
Procesamiento exclusivo en la UE bajo petición
Para clientes europeos que requieren residencia completa en la UE, las cargas de trabajo de AI se enrutan por regiones de la UE. Configurable por aplicación.
Dónde estamos. Adónde vamos.
Dividimos las certificaciones en tres estados: en vivo (en producción hoy, auditado internamente), disponible (papeleo a pedido: DPA, SCC, etc.) y hoja de ruta (comprometido, con fecha objetivo).
| Marco de referencia | Estado | Notas |
|---|---|---|
| GDPR (EU 2016/679) | Live | Mapeo completo de bases legales por actividad de procesamiento. Designado DPO. Puntos finales de derechos del sujeto en el producto. Se mantienen registros de procesamiento. |
| EU AI Act | Live | Nuestros casos de uso de recursos humanos están clasificados como de alto riesgo en el Anexo III. Sistema de gestión de riesgos, controles de supervisión humana, gobernanza de datos, documentación técnica según Título III, Capítulo 2. |
| AES-256 at rest | Live | Cifrado de base de datos en reposo. El almacenamiento de objetos (Cloudflare R2) cifra los datos en reposo con claves administradas por el proveedor. Secretos de aplicaciones cifrados en tránsito y almacenados en un administrador de secretos. |
| DPA (Acuerdo de procesamiento de datos) | Disponibles | DPA estándar disponible precontrato. CEC (Cláusulas Contractuales Estándar) incluidas para cualquier transferencia fuera de la UE aprobada explícitamente por el cliente. |
| Residencia de datos de la UE | Disponibles | Hetzner Falkenstein (Alemania) para infraestructura primaria. Ruta LLM solo para la UE previa solicitud. Arquitectura completa → |
| ISO 27001 | Hoja de ruta | Formalización del Sistema de Gestión de Seguridad de la Información (SGSI). Certificación objetivo: 2027. Evaluación de brechas en progreso. Hasta entonces, los controles siguen el marco ISO 27001 internamente sin auditoría de terceros. |
| SOC 2 Type II | Hoja de ruta | Previsto tras la ISO 27001: mientras tanto, los clientes de EE. UU. pueden solicitar un cuestionario de seguridad (Cyber Essentials Plus / HECVAT). |
Cinco capas, un límite.
Un mapa simplificado de dónde se encuentran sus datos y qué los protege. Diagramas de arquitectura completos compartidos bajo NDA a pedido.
openai_eu, azure_sweden, google_vertex (europe-west4). Los proveedores no conservan datos de clientes bajo los términos enterprise.Quién más toca los datos — y dónde.
Un subconjunto de nuestros subprocesadores activos a continuación; la lista completa de versiones se mantiene en la página dedicada. Notificamos a los clientes con antelación sobre las incorporaciones, con derecho a oponerse.
Hetzner
Cloudflare R2
OpenAI
Google Vertex AI
Azure OpenAI
Stripe
La lista honesta de límites y plazos.
La página de confianza de cada proveedor enumera lo que tienen. También enumeramos lo que no tenemos, con un objetivo en el que estamos trabajando en ello. De todos modos, así es como los equipos de adquisiciones deberían evaluar a los proveedores.
Lea el texto legal. Sin la jerga jurídica.
Cada documento está en inglés sencillo en la parte superior, con la versión legal completa a continuación. Envíe su equipo de seguridad o adquisiciones directamente aquí.
Entregue esta página a su equipo de seguridad. Entonces reserve una llamada.
Si su CISO o equipo de adquisiciones tiene preguntas que nuestra documentación pública no puede responder (resultados de pruebas de penetración, controles ISMS, apéndices DPA personalizados), las analizamos en una llamada de 30 minutos bajo NDA.
