Seguridad que puedes verificar, no solo leer.
Cada organización vive aislada, tus credenciales están cifradas y nadie de nuestro equipo entra a tu cuenta sin tu permiso. Todo lo que lees en esta página opera hoy en producción.
Credenciales cifradas
AES-256-GCM, llave fuera de la base
Soporte con tu permiso
Expira a las 72 h · queda auditado
AES-256
Cifrado en reposo
y AES-256-GCM para las credenciales de tus integraciones
TLS
Cifrado en tránsito
en toda la plataforma y en sus APIs
1 clic
Acceso de soporte con tu permiso
expira a las 72 h, revocable y auditado
≤ 72 h
Aviso ante una brecha
objetivo de nuestro plan de respuesta a incidentes
Tres principios, sin letra chiquita
No son valores de póster: cada uno se traduce en controles concretos que puedes leer abajo.
Aislamiento por diseño
Cada organización es una frontera. Las reglas de acceso viven en el propio motor de datos, no solo en la aplicación, y las funciones sensibles solo las ejecuta el servidor.
Tú controlas el acceso
Nadie de nuestro equipo entra a tu cuenta sin tu autorización explícita. La das con un botón, expira sola, la revocas cuando quieras y queda auditada.
Honestidad antes que sellos
Publicamos lo que sí hacemos y decimos lo que no. Nuestra autoevaluación STAR está en el registro público de la Cloud Security Alliance, control por control.
Lo que protege tu cuenta, control por control
Todo lo de esta lista está activo en producción. Si algo dejara de estarlo, sale de aquí el mismo día.
Datos aislados y cifrados
- Aislamiento por organización en el motor de datos, además del filtro por organización en cada consulta
- Cifrado en tránsito (TLS) y en reposo (AES-256)
- Credenciales y tokens de tus integraciones cifrados con AES-256-GCM, con la llave fuera de la base
- Columnas sensibles nunca legibles desde el navegador; los archivos de tus conversaciones se guardan en almacenamiento privado y se sirven con enlaces firmados
- Respaldos automáticos y alta disponibilidad de la base de datos
Identidad y accesos
- OAuth oficial con tu CRM y tu calendario: no guardamos contraseñas de terceros
- Contraseñas de 12 caracteres o más, con mayúscula, minúscula, número y símbolo, rechazadas si aparecen en filtraciones públicas
- Sesiones que caducan: 7 días como máximo y cierre a las 24 horas sin actividad
- Registro con código de un solo uso y verificación anti-robots; el cambio de correo se confirma en el buzón viejo y en el nuevo
- Roles y permisos por usuario y por equipo, con mínimo privilegio: cada agente ve solo su alcance
- MFA obligatorio en nuestros sistemas administrativos y revisión trimestral de accesos
Plataforma endurecida
- Límites de tráfico por IP y por organización en los puntos públicos: registro, chat web y salas de voz
- El chat web usa tokens de sesión firmados y atados al dominio de tu sitio
- Enlaces firmados y con caducidad para invitaciones, salas de demo y bajas; secretos internos separados por componente y rotados
- Cabeceras de seguridad, protección anti-replay en pagos y validación de archivos por su contenido real
- Revisión interna de seguridad de toda la plataforma en septiembre de 2026, con remediación por tandas ya en producción
Soporte con tu consentimiento
- Lo autorizas con un botón desde tu cuenta; expira a las 72 horas y lo revocas cuando quieras
- Cada sesión de soporte queda auditada, con aviso por correo al iniciar y al terminar
- Cerrar tu sesión termina también cualquier sesión de soporte abierta
IA con límites
- Las herramientas de la IA están atadas a la conversación: no consulta tu CRM ni envía materiales a terceros fuera de ese hilo
- Guardias contra cifras, ligas y nombres inventados; ante la duda, escala a una persona
- No entrenamos modelos de IA con tus datos ni con las conversaciones de tus clientes (aviso de privacidad, §4.3)
- Los registros técnicos del agente de voz no guardan lo que dicen tus clientes
Pagos y datos personales
- Pagos con un proveedor certificado PCI DSS: nunca vemos ni guardamos tu tarjeta (alcance SAQ A)
- Aviso de privacidad publicado y acuerdo de tratamiento de datos (DPA) a solicitud
- Al terminar, 90 días para exportar tus datos y después se eliminan; derechos ARCO por correo
- Ante una brecha con datos personales, aviso a los clientes afectados con objetivo de 72 horas desde su confirmación
Lo que puedes comprobar por tu cuenta
Cada sello con su alcance exacto. Sin certificaciones que no tenemos.
CSA STAR Nivel 1 · Autoevaluación (CAIQ)
Nuestro cuestionario CAIQ está publicado en el registro STAR de la Cloud Security Alliance: respuestas transparentes, control por control. Es una autoevaluación, no una auditoría de tercero.
PCI DSS · SAQ A
Los pagos los procesa un proveedor certificado PCI DSS. Lead Lab nunca ve ni almacena los datos de tu tarjeta; nuestro alcance es el cuestionario SAQ A.
Políticas del SGSI
Seis políticas aprobadas, con revisión anual:
Disponibles a solicitud para procesos de compra.
Preguntas que nos hacen antes de firmar
¿Quién puede ver las conversaciones de mis clientes?
Solo las personas de tu organización con permiso sobre ese equipo o esa conversación. Nuestro equipo únicamente si tú autorizas una sesión de soporte, que expira a las 72 horas y queda auditada.
¿Usan mis datos para entrenar inteligencia artificial?
No. Ni tu contenido, ni las conversaciones con tus clientes, ni las transcripciones se usan para entrenar modelos de IA propios o de terceros (así lo dice nuestro aviso de privacidad, §4.3). La IA usa tu base de conocimiento y el contexto de cada conversación solo para responderle a ese cliente.
¿Qué pasa si hay un incidente de seguridad?
Seguimos nuestro plan de respuesta a incidentes: contener, erradicar y recuperar. Si hay datos personales comprometidos, avisamos a los clientes afectados sin demora, con un objetivo de 72 horas desde la confirmación, y a la autoridad cuando la ley lo exija.
¿Puedo borrar mis datos al terminar?
Sí. Al terminar tu contrato tienes 90 días para exportar tus datos desde la plataforma; después se eliminan de los sistemas activos. Además, cualquier titular puede ejercer sus derechos ARCO escribiéndonos, como detalla el aviso de privacidad.
¿Tienen DPA o pueden responder mi cuestionario de seguridad?
Sí. El acuerdo de tratamiento de datos está disponible a solicitud y respondemos cuestionarios de seguridad con base en nuestro CAIQ publicado en el registro STAR.
¿Cómo reporto una vulnerabilidad?
Escríbenos a hola@lead-lab.ai con los pasos para reproducirla. Priorizamos por severidad, con objetivo de 7 días para las críticas y 30 para las altas. Agradecemos la divulgación responsable.
¿Encontraste algo? Cuéntanos.
Si crees haber encontrado una vulnerabilidad o tienes una duda de seguridad, escríbenos. Atendemos cada reporte con seriedad y agradecemos la divulgación responsable.
Última actualización: septiembre de 2026.