Seguridad

01. Nuestro enfoque

En Grupal, la seguridad y la privacidad forman parte del diseño desde el inicio. Tres principios guían cómo tratamos los datos:

• recabar lo mínimo;
• aislar los datos de cada organización;
• restringir el acceso a quien lo necesita.

Esta página describe las medidas vigentes. Grupal puede actualizarlas, siempre que no reduzca el nivel de protección.

02. Infraestructura

• Backend: Supabase es nuestro backend: autenticación, base de datos PostgreSQL, almacenamiento de archivos, funciones del servidor y tiempo real. Opera sobre Amazon Web Services en la región us-east-1, en Virginia, Estados Unidos.
• Aplicación web: Cloudflare Pages entrega solo los archivos estáticos de la aplicación y no almacena datos de negocio.

03. Cifrado

• En tránsito: todas las comunicaciones viajan cifradas con HTTPS/TLS. Las conexiones directas a la base de datos exigen cifrado.
• En reposo: la base de datos y los archivos se cifran con AES-256 en la infraestructura de Supabase.
• Contraseñas: se almacenan como hash y nunca en texto claro.

04. Aislamiento entre organizaciones

• Cada tabla con datos tiene activadas políticas de seguridad a nivel de fila (RLS), de modo que cada organización solo puede leer y escribir sus propios datos.
• Todos los registros usan identificadores aleatorios (UUID v4), no secuenciales.
• Los archivos se guardan en almacenamiento privado y se entregan mediante enlaces firmados de corta duración.

05. Autenticación y control de acceso

• Correo verificado y recuperación segura: el registro requiere verificar el correo, y la recuperación de contraseña usa un flujo seguro (PKCE).
• Dos pasos: la autenticación de dos pasos está disponible para todos los usuarios. Es obligatoria para todos los usuarios de organizaciones de salud.
• Roles: cada usuario tiene un rol (Owner, Admin o Member) con los permisos mínimos que necesita.
• Sesiones: se validan cada vez que se abre la aplicación. Si la sesión es inválida o la cuenta fue eliminada, se cierra de inmediato.
• Agentes: cada agente de IA solo accede al módulo que atiende. Lo que queda fuera de su alcance requiere la aprobación de una persona.

06. Secretos e integraciones

• Las llaves y credenciales de proveedores, como los tokens de WhatsApp, se guardan solo en el servidor. Nunca se envían al navegador ni a la app.
• Los webhooks validan la firma del proveedor antes de procesar cualquier evento.
• Los contadores de uso, créditos y saldos solo pueden modificarse desde el servidor.

07. Bitácora y registros

• Las organizaciones con el complemento Seguridad avanzada cuentan con una bitácora que registra quién creó, editó, consultó, descargó o exportó la información de los contactos, los cambios de permisos y de configuración, y los inicios y cierres de sesión. Cada entrada guarda autor, fecha, hora, dirección IP y navegador.
• La bitácora guarda identificadores y acciones, no el contenido de los datos. Se conserva por 400 días, o 5 años y 30 días en cuentas de atención médica, y se elimina con la organización.
• Solo el Owner y los Admins pueden consultarla. Las consultas del equipo se registran desde la app, y de los agentes de IA se registra lo que escriben, no lo que leen. Las organizaciones sin el complemento no generan bitácora.
• Los registros de errores ocultan tokens, llaves y datos personales.

08. Inteligencia artificial

• Las respuestas se generan con modelos de terceros a través de OpenRouter, con la opción de no recolección de datos: los proveedores no entrenan con los datos ni los conservan.
• A cada modelo solo le enviamos lo necesario para responder.
• Grupal no entrena modelos propios con datos de sus clientes ni de sus contactos.

09. Minimización

• No incluimos datos personales en métricas, notificaciones del sistema ni nombres de archivo.
• Los índices de búsqueda semántica (embeddings) se generan a partir del contenido de cada organización. Se protegen con el mismo aislamiento y cifrado que los datos originales y se eliminan junto con ellos.

10. Acceso del personal de Grupal

Nuestro personal no accede a los datos de las organizaciones salvo en tres casos:

1. cuando un Owner o Admin lo autoriza para resolver una solicitud de soporte;
2. para atender un incidente de seguridad;
3. cuando lo exige la ley.

El acceso es temporal y queda registrado. Todo el personal con acceso firma obligaciones de confidencialidad.

11. Respaldos y continuidad

• La base de datos se respalda de forma automática diariamente, y los respaldos se conservan 7 días.

12. Incidentes de seguridad

Contamos con un procedimiento de respuesta a incidentes. Si confirmamos una vulneración que afecte datos de una organización:

1. avisaremos al Owner sin demora y, a más tardar, dentro de las 72 horas siguientes;
2. le daremos la información necesaria para que, como responsable, informe a las personas afectadas.

Si la vulneración afecta datos de usuarios de Grupal, les informaremos directamente.

13. Exportación

Los Owners pueden exportar desde la app toda la información de su organización en cualquier momento. Así conservan una copia y pueden cumplir las obligaciones de conservación que les apliquen.

14. Cumplimiento

• Grupal está diseñado conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2025.
• Grupal no cuenta con certificación conforme a la NOM-024-SSA3-2012.
• Grupal no afirma cumplir con la ley HIPAA de Estados Unidos. Los canales de Meta, como WhatsApp, Messenger e Instagram, no pueden ser compatibles con HIPAA porque Meta no firma acuerdos de socio comercial (BAA).
• Para negocios regulados, como clínicas, Grupal ofrece salvaguardas descritas en el Anexo de Salud.

15. Responsabilidad compartida

16. Reporte de vulnerabilidades

Si encuentras una vulnerabilidad, escríbenos a seguridad@grupal.io. Te pedimos:

• no hacer pruebas destructivas;
• no acceder a datos de terceros ni interrumpir el servicio;
• darnos un plazo razonable antes de hacerla pública.

Acusaremos recibo en un máximo de 5 días hábiles y revisaremos cada reporte.