Seguridad

Cómo trata Miross tus datos.

La versión corta. La larga es el SECURITY.md que mantenemos junto al código.

Multi-tenant

Cada registro lleva su espacio de trabajo; nada es legible entre espacios.
Roles: admin, agente, lector. Quien no es miembro recibe “no encontrado”, no “prohibido”.

Las contraseñas se protegen con Argon2id; las sesiones son tokens opacos guardados en hash.
Verificación en dos pasos con una app de autenticación (TOTP) y códigos de recuperación, para todas las cuentas; los espacios Scale pueden exigirla a todos sus miembros.
Las claves API de los marketplaces se cifran con AES-256-GCM bajo claves rotativas y nunca se devuelven.
Buzones y chats se conectan con un asistente alojado: las credenciales nunca llegan a Miross.

Activada por defecto, con un interruptor por espacio para apagarla. Las peticiones de Miross se descifran y procesan solo dentro de la UE (eu.openrouter.ai) y solo van a proveedores de modelos que operan en la UE: Mistral AI (Francia), Amazon Web Services (Irlanda), Google Cloud (UE) y Microsoft Azure (UE, para los resúmenes de casos).
Retención cero: esos proveedores no pueden conservar nada (salvo la caché en memoria) y los prompts nunca se usan para entrenar. Solo se envía el texto depurado de los mensajes implicados (en notas de voz e imágenes, el propio archivo; en un PDF o un documento de Word, solo el texto que extraemos en nuestro propio servidor) y cada llamada se mide.
La IA nunca responde por su cuenta. La salida del modelo se comprueba antes de poder llegar a un cliente; las acciones sugeridas se reverifican en el servidor y las confirma una persona.

Base de datos, adjuntos y copias de seguridad: Hetzner, en Núremberg (Alemania).
Los buzones y chats se conectan a través de Unipile (Francia, alojado en Scaleway). Los mensajes y archivos de WhatsApp y LinkedIn, notas de voz incluidas, se guardan allí hasta que se elimina la cuenta conectada; de los buzones IMAP y Microsoft, solo metadatos; de Gmail, nada. Al eliminar una conexión o el espacio, también se elimina la cuenta en Unipile; sus proveedores de proxy opcionales están en EE. UU. y Singapur.
El correo de los canales por reenvío (Amazon, bol.com y TikTok Shop), los correos a los visitantes del chat (respuestas que no vieron, transcripciones) y los correos de cuenta (invitaciones, restablecimiento de contraseña, avisos) pasan por Resend en EE. UU., con las Cláusulas Contractuales Tipo y el Marco de Privacidad de Datos. Resend conserva el contenido de los mensajes, los registros y los datos de los webhooks hasta 30 días.
Los registros de la propia cuenta de Miross en OpenRouter (facturación, autenticación, seguridad y control de abusos) pueden quedar fuera de la UE; no incluyen el contenido de los mensajes.

Los webhooks entrantes (Stripe, Resend, Unipile) se verifican por firma o secreto compartido antes de procesarse.
Las direcciones de reenvío (Amazon, bol.com, TikTok Shop) llevan un sufijo aleatorio. En Amazon, solo el correo de alias de compradores se convierte en caso; el correo de configuración del propio marketplace (una confirmación de dirección, un enlace de activación) nunca se convierte en caso.

Reportes de seguridad: security@miross.io