Cómo protegemos
tus datos.
Los mecanismos detrás de la primera promesa de nuestra página de datos: cómo se aíslan los tenants, cómo se cifra todo, quién puede acceder a producción y qué tiene que superar un cambio antes de publicarse.
CASA Tier 2: verificado en laboratorio
Evaluado de forma independiente por TAC Security según OWASP ASVS: todas las categorías superadas. Ver certificado →
Alojado en AWS en us-east-1
La aplicación, la base de datos, la caché y el almacenamiento de objetos se ejecutan en AWS, en la región de Virginia del Norte.
TLS 1.2+ en todas partes
Todo el tráfico hacia PanLuma se cifra en tránsito mediante CloudFront y el balanceador de carga de AWS.
Auditable de forma independiente
Nuestras políticas de seguridad están por escrito y con control de versiones. Elige cualquier afirmación y pídenos el documento que la respalda.
Nuestras prácticas de seguridad
Qué hacemos para proteger tus datos
Tus datos están aislados.
PanLuma es multiinquilino. El aislamiento entre inquilinos se aplica en la propia base de datos, no solo por convención, mediante PostgreSQL Row-Level Security con un tenant_id en cada tabla.
Multiinquilino por diseño con PostgreSQL Row-Level Security
Cada registro de negocio lleva un tenant_id y está protegido por políticas RLS en la propia base de datos, no solo en la capa de aplicación.
Alcance estricto por inquilino en cada consulta
El código de la aplicación usa sesiones limitadas al inquilino; el acceso entre inquilinos es imposible por construcción.
Cargas de trabajo aisladas
Los datos de cada inquilino residen en una infraestructura compartida, con aislamiento lógico aplicado en las capas de base de datos, caché y aplicación.
Tus datos están cifrados.
Los datos se cifran tanto en tránsito como en reposo. Los secretos sensibles, como los tokens de OAuth y las claves de API, se cifran una segunda vez en la capa de aplicación.
TLS 1.2 o superior en tránsito
CloudFront y el balanceador de carga de la aplicación exigen TLS moderno en cada solicitud.
Cifrado en reposo gestionado por AWS
Los volúmenes de RDS, S3, ElastiCache y EBS se cifran en reposo con claves gestionadas por AWS KMS.
Tokens de OAuth cifrados con Fernet
Los tokens de las integraciones conectadas (Google, Microsoft, Notion, etc.) se cifran en la capa de aplicación antes de escribirse en la base de datos.
Contraseñas protegidas con hash bcrypt
PanLuma nunca almacena contraseñas en texto plano. El SSO es compatible y lo recomendamos.
El acceso se basa en el mínimo privilegio.
Nuestra Política de Control de Acceso regula quién puede acceder a qué, con qué método y durante cuánto tiempo. Es un documento interno: pídenos una copia.
Controles de acceso por niveles
Los roles separan a los usuarios habituales, los administradores y los operadores de administración del sistema. Los niveles con privilegios tienen un alcance estrictamente delimitado.
MFA obligatoria para todo el personal de PanLuma
TOTP como mínimo en todas las cuentas que pueden acceder a producción. Los proveedores de SSO exigen MFA en los inicios de sesión federados.
Elevación de privilegios just-in-time
El acceso a producción no es permanente: se solicita, se justifica, tiene una duración limitada y queda auditado.
Toda acción privilegiada queda auditada
Los registros de auditoría capturan tanto a la persona que actúa como a cualquier agente de IA que actúe en su nombre.
El código se revisa antes de publicarse.
Cada cambio en PanLuma pasa por una revisión de seguridad automatizada con múltiples especialistas y por una validación completa de pruebas antes de llegar a producción.
Revisión de código con IA en cada push
Una revisión multiagente de seguridad, arquitectura y pruebas se ejecuta en cada push a main y en cada pull request: ninguna persona puede saltársela para fusionar cambios.
OWASP ASVS Nivel 2: verificado de forma independiente
Nuestra base de seguridad de aplicaciones apunta a los controles de nivel 2 de ASVS, y un laboratorio independiente (TAC Security) los ha verificado en las 14 categorías dentro de CASA Tier 2.
Análisis de dependencias y secretos
Las dependencias se analizan en cada compilación y el análisis de secretos se aplica en CI para detectar commits accidentales.
Controles de pruebas previos al push
Las suites de backend, frontend e integración deben pasar antes de poder subir el código. La cobertura se va elevando de forma progresiva para evitar regresiones.
Cumplimiento y alineamiento normativo
Dónde estamos hoy y hacia dónde vamos
Nuestra situación real, sin insignias aspiracionales.
CASA Tier 2: obtenido
Lab Tested y Lab Verified por TAC Security (tercero independiente autorizado por la App Defense Alliance) según OWASP ASVS: superadas las 14 categorías de verificación. ID de certificado 1aa14187, válido hasta mayo de 2027. Ver certificado →
GDPR
Marco de responsable/encargado del tratamiento implantado. Firmamos acuerdos de encargo de tratamiento (DPA) con todos los subencargados y ofrecemos un DPA para clientes bajo petición.
SOC 2 Type 2
Está en nuestra hoja de ruta. Todavía no hemos iniciado una auditoría SOC 2 y a día de hoy no afirmamos contar con esta certificación.
La infraestructura certificada que nos respalda
En qué nos apoyamos
Somos transparentes sobre la diferencia entre las certificaciones propias de PanLuma y las de los proveedores sobre los que construimos. Estas son las segundas.
AWS
SOC 1/2/3, ISO 27001, ISO 27017, ISO 27018, PCI-DSS, apto para HIPAA BAA, RGPD. aws.amazon.com/compliance/programs →
Anthropic (Claude)
SOC 2 Type 2. No entrena con los datos de clientes de la API. trust.anthropic.com →
Twilio / SendGrid
SOC 2, ISO 27001. twilio.com/security →
Google Workspace
SOC 2/3, ISO 27001/17/18, FedRAMP. workspace.google.com/security →
Microsoft
SOC 1/2, ISO 27001/17/18, FedRAMP. microsoft.com/trustcenter →
PostHog
SOC 2 Type 2. Residencia de datos en la UE para PanLuma (PostHog Cloud EU). posthog.com/security →
Plausible
Analítica alojada en la UE y conforme con el RGPD para nuestro sitio web de marketing. Sin cookies y sin datos personales. plausible.io/data-policy →
GitHub
SOC 1/2, ISO 27001. Aloja el código fuente de PanLuma; ningún dato de clientes pasa por GitHub durante la ejecución. github.com/security →
Lista completa de subencargados del tratamiento
Consulta el catálogo completo de quién trata qué datos, dónde y bajo qué DPA. Ver subencargados del tratamiento →
¿Has encontrado algo? Cuéntanoslo.
PanLuma mantiene un Programa público de divulgación de vulnerabilidades con condiciones de puerto seguro para investigadores que actúen de buena fe. Escribe a security@panluma.ai o consulta nuestro security.txt.
Salón de la Fama
Consulta el Salón de la Fama de investigadores de seguridad →
La página se acaba de publicar y se actualizará a medida que los investigadores envíen informes válidos.
Reconocimiento público
Los investigadores que envían informes válidos y dentro del alcance, y que consienten en que se les nombre, aparecen en una lista pública.
Reconocimiento por escrito bajo petición
Los investigadores anónimos pueden solicitar una carta de reconocimiento por escrito para sus archivos.
Documentos que publicamos
Lee el original, no solo el resumen
Estos documentos se publican íntegramente. El resto del paquete de políticas se versiona internamente y se comparte bajo petición: elige cualquier afirmación de esta página y te mostramos su fuente.
Política de divulgación de vulnerabilidades
Alcance, puerto seguro y plazos de respuesta. Leer →
Lista de subencargados del tratamiento
Todos los terceros que tratan datos de clientes, qué hacen, dónde lo hacen y bajo qué DPA. Leer →
Política de privacidad
Qué datos recopilamos, por qué, y cuáles son tus derechos como titular de los datos. Leer →
Términos del servicio
El contrato que regula el uso de PanLuma. Leer →
Adenda de tratamiento de datos
El DPA de PanLuma para clientes está disponible bajo petición: escribe a privacy@panluma.ai.
Paquete completo de políticas
Seguridad de la información, respuesta ante incidentes, conservación de datos, control de acceso, copias de seguridad y recuperación ante desastres, y diagramas de flujo de datos. Se versionan internamente y se comparten con clientes y posibles clientes bajo petición: security@panluma.ai.