Los clientes nos confían la categoría de información más sensible que poseen

No, sin autorización explícita. El contenido se cifra con AES-256-GCM usando una clave de 256 bits única por organización, custodiada en AWS KMS (no en servidores de vario). Ningún ingeniero de vario tiene permisos kms:Decrypt por defecto. Cualquier acceso de soporte requiere tu autorización desde el dashboard de admin, queda registrado con timestamp, usuario e IP en un audit log inmutable (firma SHA-256), y el token expira automáticamente en 4 horas. Puedes revocar antes del vencimiento escribiendo a infosec@vario.lat.

Tus datos están protegidos por capas independientes. Un atacante que comprometa la base de datos obtiene texto cifrado ilegible: las claves viven en AWS KMS con controles de acceso completamente separados. Para leer en texto plano necesitaría comprometer simultáneamente la base de datos Y el sistema KMS. Ante cualquier incidente confirmado, notificamos a tu contacto de seguridad dentro de las 24 horas siguientes a la confirmación, y asistimos en la notificación regulatoria (GDPR/LGPD) dentro de las 72 horas.

No. El contenido se procesa dentro del servicio gestionado de nuestro proveedor cloud, que no lo comparte con los proveedores de los modelos ni lo utiliza para entrenarlos. No es una opción que activemos: es como funciona el servicio, y está respaldado por el acuerdo de tratamiento de datos con el proveedor cloud. La primera capa de análisis, además, se ejecuta íntegramente dentro de nuestra infraestructura, sin salida de red.

Lo decimos con precisión, porque es lo que un evaluador necesita saber. El contenido de las comunicaciones se almacena y se opera en la región cloud de la plataforma, y ahí permanece. La capa de análisis avanzado corre sobre un servicio gestionado dentro del mismo perímetro de cuenta, y su enrutamiento puede procesar la inferencia fuera de esa región. Esa transferencia internacional está identificada, tiene base contractual con el proveedor cloud y contempla aviso a los titulares. La identidad de usuarios se delega además en un proveedor con operación en Estados Unidos. Ninguna de esas rutas implica que el contenido se comparta con terceros ajenos al proveedor cloud.

El aislamiento se aplica en capas superpuestas. En todo endpoint autenticado el cliente se deriva de la credencial, nunca de la petición. Sobre las tablas que tienen dimensión de cliente rigen políticas nativas de Row-Level Security en modo forzado, con un rol de conexión sin privilegio de bypass. Al arranque de cada proceso se verifica el aislamiento de forma automática, conectado a alarmas. Y cada cliente tiene una clave criptográfica dedicada, de modo que el descifrado cruzado es criptográficamente imposible. Con una precisión importante: un conjunto acotado de tablas se consulta necesariamente antes de que exista contexto de cliente, en autenticación y aprovisionamiento, y por definición no puede quedar bajo Row-Level Security. Ahí la protección es el filtro aplicativo, y así está registrado como excepción con revisión periódica.