Seguridad
Cómo se separan los datos de cada empresa y qué controles existen.
Esta página describe controles que existen hoy en la plataforma. No es un informe de auditoría ni una certificación.
Separación entre empresas
- Cada cuenta de cliente queda acotada a una sola empresa (por NIT). Cualquier petición por los datos de otra empresa se responde como si no existiera.
- Un administrador solo accede a las empresas de su propio portafolio.
- Las escrituras sobre cuentas, roles y permisos pasan siempre por el servidor, nunca directamente desde el navegador hacia la base de datos.
Los clientes no pueden escalar privilegios
El rol y la empresa de una cuenta no pueden ser modificados por el propio usuario. Esa restricción se aplica también en la base de datos, no solo en la interfaz.
Contraseñas e invitaciones
El administrador nunca ve ni define la contraseña de un cliente. El cliente la crea desde la invitación que recibe por correo.
Cargas de archivos
- Tamaño máximo por archivo: 15 MB.
- El tipo del archivo se verifica por su contenido (firma de bytes), no por la extensión ni por el nombre que envía el navegador: un archivo renombrado se rechaza.
- Los archivos comprimidos que se expandirían de forma desproporcionada, o que traen un número anómalo de entradas internas, se rechazan leyendo sus metadatos, sin abrirlos.
- El nombre del archivo que sube el usuario se guarda solo para mostrarlo: la ruta en el almacenamiento la genera el servidor, así que un nombre malicioso no puede escribir fuera de la carpeta de la empresa.
- Los valores que podrían interpretarse como fórmulas al exportar a Excel se neutralizan, para evitar inyección de fórmulas.
Uso de IA
La IA propone diagnósticos y ajustes, pero ninguna cifra cambia sin la aprobación de una persona, y cada ajuste aprobado queda registrado como una línea identificable.
Datos personales
El tratamiento de datos personales se rige por la política de tratamiento de datos (Ley 1581 de 2012). Pendiente: enlazar aquí la política publicada.
Pendiente de revisión legal
Esta sección debe revisarse con asesoría jurídica antes de publicarse. No incluye compromisos contractuales.