Marcos y estado
GDPR / RGPD
Actuamos como encargado del tratamiento. Firmamos DPA conforme al art. 28, publicamos nuestros subencargados y avisamos de cada cambio. Retención configurable, exportación completa y borrado de contactos desde el panel.
DisponiblePCI DSS
Los pagos los procesa PayComet, certificado PCI DSS Nivel 1. Los datos de tarjeta nunca pasan por 008.
En producciónEU AI Act
Transparencia por diseño: el usuario final sabe que habla con una IA y puede pasar a una persona.
En producción
SSL Labs A+
La plataforma obtiene la nota máxima en la configuración TLS según Qualys SSL Labs. Ver informe en vivo
En producción
MDN HTTP Observatory A+
La plataforma, el panel de soporte y esta web obtienen la nota máxima en cabeceras de seguridad HTTP, con Content Security Policy activa. Ver informe en vivo
En producciónSOC 2 Type II
En nuestra hoja de ruta. Si tu revisión lo exige, te contamos el estado y las fechas.
En hoja de rutaCSA STAR Level 1
Hemos preparado nuestra autoevaluación con el cuestionario CAIQ v4.1 de la Cloud Controls Matrix. Está pendiente de publicación en el registro STAR de la Cloud Security Alliance.
Pendiente de publicaciónHIPAA
Modo HIPAA con BAA para planes Enterprise, junto con BYOK estricto.
En hoja de rutaIA y tus datos
Lo que nos diferencia de un SaaS genérico: tus conversaciones pasan por modelos de IA, y tienes derecho a saber cómo.
- No entrenamos modelos con tus datos
- 008 no usa las conversaciones, contactos ni la base de conocimiento de tus clientes para entrenar modelos, ni propios ni de terceros.
- Retención cero en los modelos
- Accedemos a los modelos a través de OpenRouter con Zero Data Retention: solo se usan proveedores que no guardan tus datos ni entrenan con ellos, y lo comprobamos automáticamente cada día.
- Protección contra prompt injection
- Un Security Gateway analiza cada mensaje de entrada y bloquea los intentos de manipular al agente antes de que lleguen al modelo.
- Sin fugas de contexto interno
- Un saneador revisa cada respuesta antes de enviarla: el agente no revela su prompt, sus herramientas ni datos de otros contactos.
- Tú decides cuándo responde la IA
- Handoff a agentes humanos en tu contact center (Genesys, Five9) y control sobre cuándo contesta la IA y cuándo una persona.
- Transparencia con el usuario final
- Quien habla con un agente de 008 sabe que es una IA, como pide el EU AI Act.
Controles de seguridad
Solo listamos controles que están en producción hoy.
Seguridad de la aplicación
- Detección de prompt injection en cada mensaje de entrada
- Saneado de las respuestas de los agentes antes de enviarlas
- Content Security Policy con nonce por petición y cabeceras de seguridad
- Bloqueo de peticiones de las herramientas a redes internas (anti-SSRF)
- Verificación de firma de los webhooks de los canales
- Detección de números de tarjeta en los mensajes
Protección de datos
- Cifrado en tránsito con TLS 1.2/1.3 (A+ en SSL Labs)
- Credenciales de integraciones cifradas con AES-256-GCM
- Datos de cada cuenta separados en base de datos con Row-Level Security, con pruebas de aislamiento en cada cambio
- Copias diarias cifradas e inmutables en la UE, con prueba de restauración automática cada día
- Retención de conversaciones configurable por cuenta
Acceso a la cuenta
- Segundo factor (TOTP) obligatorio para todos los usuarios
- Bloqueo tras intentos de acceso fallidos
- Roles propietario, admin y miembro
- Registro de actividad de solo añadir, conservado 13 meses y exportable
- Cada acceso de nuestro equipo de soporte a tu cuenta queda registrado y lo ves
Operaciones
- Alertas operativas y latido de los procesos programados
- Despliegues versionados con vuelta atrás
- Ningún cambio llega a producción sin pasar tests y el análisis de dependencias e imagen
- Acceso a servidores con usuario nominal, solo con llave y sin root
Pagos
- Datos de tarjeta delegados en PayComet (PCI DSS Nivel 1)
Documentos
Privacidad y derechos de datos
- Encargado del tratamiento
- Tú eres el responsable de los datos de tus clientes; nosotros los tratamos solo siguiendo tus instrucciones, según el DPA.
- Retención y borrado
- Tú eliges cuánto se guardan las conversaciones: de 30 días a 10 años, o sin límite. Al terminar el contrato, eliminamos tus datos.
- Exportación
- El propietario de la cuenta descarga todos sus datos desde el panel en cualquier momento.
- Derechos de los interesados
- Exporta o borra los datos de un contacto desde su ficha para atender sus solicitudes de acceso y supresión.
Subencargados
Proveedores que tratan datos de clientes para prestar el servicio.
| Proveedor | Función | Datos que toca | País |
|---|---|---|---|
 OVHcloud | Hosting de la plataforma | Todos |  Francia (UE) |
| Cloudflare | DNS y copias de seguridad cifradas (R2) | Copias cifradas; Cloudflare no tiene la clave | UE |
 OpenRouter | Enrutado a modelos de IA con retención cero (ZDR) | Contenido de las conversaciones |  EE. UU. y UE |
| Proveedores de modelos | Generación de respuestas (vía OpenRouter, solo endpoints sin retención) | Contenido de las conversaciones | Según el modelo |
 Meta | WhatsApp, Messenger e Instagram | Mensajes y perfil del contacto | EE. UU. y UE |
 Telegram | Canal de mensajería, solo si lo activas | Mensajes y perfil del contacto |  Emiratos Árabes Unidos |
 Resend | Envío de correo | Dirección y contenido del email | EE. UU. |
 Lago | Facturación, autoalojado en nuestra infraestructura | Datos de facturación de la cuenta | Francia (UE) |
 PayComet | Pagos | Datos de pago (008 no los ve) |  España |
| GitHub | Código y prueba diaria de restauración de las copias | Copia de la base de datos durante la prueba, borrada al terminar | EE. UU. |
Las integraciones que activas tú (CRM, Genesys, Five9, n8n, MCP, herramientas HTTP) no son subencargados de 008: el contrato con ellas es tuyo.
Avísame de cambios en subencargadosDivulgación responsable
Si encuentras una vulnerabilidad, escríbenos a security@008agent.ai con los pasos para reproducirla. Confirmamos la recepción, te mantenemos informado y no emprendemos acciones contra investigaciones de buena fe.
Preguntas frecuentes
¿Usáis nuestros datos para entrenar modelos?
No. 008 no entrena modelos con tus datos, y nuestra cuenta de OpenRouter solo enruta a proveedores con retención cero: no guardan tus datos ni entrenan con ellos. Lo comprobamos automáticamente cada día.
¿Dónde se alojan los datos?
La plataforma y la base de datos están en OVHcloud, en Francia (UE), y las copias de seguridad cifradas en Cloudflare R2, también en la UE. El tráfico hacia los modelos de IA y los canales como WhatsApp puede salir de la UE; esas transferencias y sus cláusulas contractuales tipo se recogen en el DPA.
¿Cuánto tiempo guardáis las conversaciones y cómo se borran?
Las eliges tú en el panel: de 30 días a 10 años, o sin límite. El borrado es automático y queda registrado. Las copias de seguridad cifradas caducan a los 35, 90 o 400 días según su tipo. Al terminar el contrato eliminamos tus datos, y antes puedes descargar una exportación completa.
¿Puedo usar mi propia clave de OpenAI, Anthropic o Gemini?
BYOK está en nuestra hoja de ruta. Cuando salga, publicaremos aquí qué llamadas van por tu clave y cuáles no, y quién responde de cada parte.
¿Tenéis SOC 2? ¿Firmáis BAA para HIPAA?
Todavía no. SOC 2 Type II y un modo HIPAA con BAA están en nuestra hoja de ruta. Si tu revisión los exige, escríbenos y te contamos el estado y las fechas.
¿Cómo aisláis los datos de cada cliente?
Cada cuenta tiene sus datos separados en base de datos con Row-Level Security, además de los controles de acceso de la aplicación.
¿Cómo reporto una vulnerabilidad?
Escribe a security@008agent.ai. Los detalles están en la sección de divulgación responsable y en nuestro security.txt.
¿Cómo me entero de un cambio de subencargados?
Suscríbete al aviso de cambios en esta página y te escribiremos antes de incorporar un nuevo subencargado.
Agente 008