Seguridad y acceso
Permisos que aplica la base de datos, no la pantalla.
Un ERP guarda nóminas, datos bancarios, certificados fiscales y el canal ético. Quién puede ver qué es el producto entero, no una pantalla de ajustes: por eso lo decide un rol, se aplica en la base de datos y queda anotado cuando ocurre.
El sistema de roles
Potente para describir tu organigrama. Pequeño para poder leerlo.
La mayoría de los sistemas de permisos fallan por un lado o por otro: demasiado gruesos para expresar una empresa real, o tan finos que nadie los audita nunca. 87 áreas, cuatro niveles cada una, diecinueve roles ya hechos y los tuyos encima.
Vigilado por
Compliance
Los roles que vienen de serie
- Admin
- Controller
- Accountant
- Finance
- Account Payables
- Account Receivables
- Compliance
- HR Manager
- HR
- Operations Manager
- Operations
- Inventory
- Sales
- IT
- Employee
Cuatro niveles, acumulativos
Consulta
Puede verlo. No puede cambiarlo.
Usuario
Hace el trabajo diario de esa área.
Supervisor
Aprueba, corrige y ve lo que hicieron los demás.
Acceso total
Configura el área, incluido quién más entra.
Cada área se fija en uno de estos para un rol dado. Los niveles altos incluyen todo lo de abajo, así que a un supervisor no hay que concederle aparte los niveles inferiores.
Por área, no por pantalla
El acceso se concede sobre 87 áreas funcionales —facturación, nóminas, tesorería, stock, canal ético— cada una con uno de cuatro niveles acumulativos. Eso es una tabla que alguien puede leer y defender en una auditoría, y no los cientos de interruptores sueltos que nadie va a revisar jamás.
Diecinueve roles, o los tuyos
Diecinueve roles vienen listos para usar, desde Administrador hasta Empleado. Cuando ninguno tiene la forma del puesto, una organización define los suyos: un rol de verdad, no una copia de otro con excepciones pegadas encima.
Las integraciones también tienen rol
Una clave de API no es una llave maestra. Se le asignan roles por la misma cadena que a una persona, así que una integración ve exactamente lo que ve su rol, y revocarla es el mismo gesto que revocar a alguien que se va.
No puede conceder lo que no compraste
La titularidad se comprueba después del rol, no antes. Un rol que menciona nóminas no concede nada a una organización sin nóminas, de modo que un rol no puede convertirse discretamente en una puerta a un módulo que nunca se pagó.
Sólo se te ofrece lo que encaja
A una empresa que compró control horario no se le muestran Controller, Contable y Finanzas: tres roles que se resolverían en el mismo conjunto vacío. El catálogo se reduce a los roles que significan algo para lo que de verdad tienes.
Dónde se aplica
Esconder un campo no es seguridad.
Cualquiera puede llamar a una API directamente. Un permiso que sólo quita un botón es un permiso que no existe: por eso todos estos se deciden por debajo de la interfaz, donde una petición no puede saltárselos.
Decide la base de datos, no la pantalla
Cientos de políticas por fila viven en la propia base de datos. Ocultar un campo en una interfaz no es seguridad —cualquiera puede llamar a la API directamente—, así que la fila no se devuelve a quien su rol no alcanza, use lo que use para pedirla.
Una operación, un permiso
Las operaciones privilegiadas se ejecutan como procedimientos protegidos, cada uno con un único permiso propio en lugar de una cadena de permisos vagamente relacionados. Un permiso significa una cosa, así que ampliarlo no puede ampliar otra cosa sin querer.
La IA se ejecuta con un rol real
Cada empleado de IA, y cada paso de agente dentro de un flujo, se ejecuta como una identidad con permisos ordinarios, nunca como administrador. Lo que puede ver es lo que vería una persona con ese rol, decidido por las mismas políticas.
Las negativas se registran
La traza de auditoría registra quién actuó, sobre qué registro y cuándo, y un intento denegado se anota en lugar de descartarse en silencio. Un control de acceso que no puedes revisar después es un control en el que confías, no que compruebas.
Secretos, acceso y caducidad
Las partes que dolerían si estuvieran mal.
Los secretos no se guardan junto a los datos normales
Tu certificado fiscal y su contraseña se cifran con AES-256-GCM antes de escribirse, y se guardan en su propia tabla tras un permiso más estrecho que el que permite ver siquiera la empresa. Nunca se descifran dentro de la base de datos. Ponerlos junto al registro de la empresa habría permitido que cualquiera que pueda leer una empresa leyera el certificado directamente desde la API.
Passkeys, y MFA que puedes exigir
Los miembros pueden entrar con una passkey en lugar de una contraseña. Una organización puede exigir un segundo factor a todo el mundo, y la aplicación obliga a darlo de alta antes de conceder acceso en lugar de pedirlo amablemente.
Los enlaces de un solo uso no se guardan
Los enlaces de firma y los códigos que los acompañan se guardan sólo como huellas. El enlace se muestra una vez y nunca se anota, de modo que nadie —nosotros incluidos— puede reemitirlo desde la base de datos.
Los datos tienen una vida que fijas tú
Los plazos de conservación los eliges tú por empresa —cuánto se guardan conversaciones, mensajes y adjuntos— y un proceso programado borra de verdad lo que ha vencido. Cero significa conservarlo siempre, y eso tiene que ser una decisión que alguien tomó.
Datos sensibles · artículo 9 del RGPD
Los datos de salud tienen su propio almacén.
Los datos de categoría especial de tus clientes nunca están en un campo del CRM. Se cifran valor a valor con una clave fuera de la base de datos, solo los ven los roles a los que se los das, el cliente firma su consentimiento y cada lectura queda registrada.
Qué afirmamos
Mecanismos, no sellos.
Esta página describe mecanismos y no sellos, a propósito. No disponemos de un informe SOC 2, y preferimos decírtelo antes que insinuar lo contrario. Lo que sí podemos es enseñarte exactamente cómo se decide el acceso, dónde se aplica y qué queda anotado cuando ocurre. Sobre el tratamiento de datos personales, el documento que rige es la política de privacidad, no una página comercial.
Trae a quien lo audite.
La forma más rápida de pasar una revisión de seguridad es una llamada en la que abrimos el editor de roles, te enseñamos un permiso siendo denegado y te dejamos leer el rastro que dejó.