Seguridad y Confianza

StaffGPT no reclama actualmente certificación SOC 2, ISO 27001 ni HIPAA. Describimos nuestros controles reales a continuación y actualizaremos esta página si se completan atestaciones formales. No declaramos que ningún despliegue cumpla HIPAA o el RGPD por defecto; el cumplimiento depende de tu configuración, tus datos y tus contratos.

StaffGPT puede ejecutarse en nuestra nube gestionada, en máquinas controladas por el cliente o en un modelo híbrido. En los modelos local e híbrido, una clave privada permanece en la máquina del cliente y no se nos transmite, y el emparejamiento de máquinas usa comunicaciones de heartbeat firmadas para autenticar los dispositivos. Los despliegues on-premises y aislados pueden mantener el procesamiento dentro de infraestructura controlada por el cliente.

Los datos en tránsito se protegen con TLS. Los datos en reposo en nuestra nube se almacenan con nuestros proveedores de infraestructura, que ofrecen cifrado en reposo para bases de datos y almacenamiento alojados.

Usamos acceso basado en roles internamente y autenticamos a los usuarios mediante nuestro proveedor de autenticación. La autenticación multifactor para usuarios administrativos y el SSO/SCIM empresarial forman parte de nuestro plan para clientes empresariales; su disponibilidad se confirma en el pedido aplicable.

Construimos sobre proveedores de infraestructura establecidos, incluidos Supabase y Vercel. Mantenemos una lista actual en nuestra Lista de Subprocesadores y evaluamos a los proveedores por su idoneidad en seguridad y privacidad.

Mantenemos un proceso de respuesta a incidentes y notificaremos a los clientes afectados los incidentes de seguridad que afecten a sus datos sin demora indebida, conforme a nuestros acuerdos. Para reportar una vulnerabilidad o inquietud de seguridad, escribe a security@staffgpt.net.

La seguridad es compartida. Los clientes son responsables de gestionar el acceso de sus usuarios, proteger las credenciales y las claves de dispositivo, configurar los despliegues adecuadamente y revisar los resultados de IA antes de confiar en ellos. Las responsabilidades de las instalaciones on-premises se establecen en el acuerdo aplicable.