Postura de Seguridad

En Invoice My Clients, la seguridad de sus datos es nuestra máxima prioridad. Este documento describe nuestra postura de seguridad integral — desde la infraestructura en la nube y los protocolos de cifrado que protegen sus datos, hasta las salvaguardas que rodean nuestras funciones impulsadas por IA. Creemos en la transparencia total para que pueda confiar en nuestra plataforma con sus datos de facturación críticos para el negocio.

Invoice My Clients está construido completamente sobre Amazon Web Services (AWS), la plataforma líder mundial de computación en la nube en la que confían millones de organizaciones, incluyendo agencias gubernamentales, instituciones financieras y proveedores de atención médica. AWS opera bajo un Modelo de Responsabilidad Compartida que divide las obligaciones de seguridad entre AWS (seguridad de la nube) y nosotros (seguridad en la nube).

Modelo de Responsabilidad Compartida

Bajo el Modelo de Responsabilidad Compartida de AWS, AWS gestiona la seguridad de la infraestructura de la nube, mientras que nosotros somos responsables de cómo configuramos y utilizamos esos servicios de manera segura. Este enfoque de doble capa asegura una protección integral en todos los niveles.

Cumplimiento y Certificaciones

AWS mantiene un amplio conjunto de certificaciones de cumplimiento que se aplican a la infraestructura que respalda Invoice My Clients:

• SOC 1, SOC 2 y SOC 3 — Auditorías independientes de terceros sobre controles de seguridad.
• ISO 27001, ISO 27017, ISO 27018 — Estándares internacionales para gestión de seguridad de la información, seguridad en la nube y protección de datos personales.
• PCI DSS Nivel 1 — El estándar más alto para la seguridad de datos de tarjetas de pago.
• HIPAA — Elegibilidad para la protección de datos de salud.
• FedRAMP — Autorización de seguridad del gobierno de EE.UU.
• RGPD — Cumplimiento del reglamento europeo de protección de datos.
• CSA STAR — Certificación de la Cloud Security Alliance.

Para obtener la lista completa de programas de cumplimiento de AWS, visite: aws.amazon.com/compliance

Servicios de AWS que utilizamos

Aprovechamos los servicios administrados de AWS que están diseñados con seguridad incorporada desde su base:

Sus datos están protegidos con cifrado estándar de la industria en cada etapa:

• Datos en tránsito: Todas las comunicaciones están cifradas usando TLS 1.2 o superior. Esto incluye llamadas a API, tráfico web y comunicación interna entre servicios.
• Datos en reposo: Todos los datos almacenados en DynamoDB, S3 y otros servicios de AWS están cifrados usando cifrado AES-256 administrado por AWS Key Management Service (KMS).
• Cifrado de base de datos: El cifrado en reposo de DynamoDB está habilitado de forma predeterminada con claves propiedad de AWS, proporcionando cifrado transparente sin cambios en la aplicación.
• Almacenamiento de archivos: Todos los archivos cargados (logotipos, recibos, documentos) almacenados en S3 están cifrados con cifrado del lado del servidor (SSE-S3 o SSE-KMS).

Utilizamos Amazon Cognito, un servicio robusto de gestión de identidad, para proteger su cuenta con autenticación de nivel empresarial:

• Autenticación multifactor (MFA) mediante contraseñas de un solo uso basadas en tiempo (TOTP) y verificación por correo electrónico.
• Integración OAuth 2.0 con proveedores confiables incluyendo Google, Facebook y Amazon para inicio de sesión social seguro.
• Gestión de sesiones basada en JWT (JSON Web Token) con actualización y expiración automática de tokens.
• Políticas de contraseñas que exigen longitud mínima, complejidad y protección contra credenciales comprometidas.
• Aislamiento de datos por usuario — cada solicitud de API está limitada a la identidad del usuario autenticado, previniendo el acceso no autorizado entre cuentas.
• Protecciones de bloqueo de cuenta para defenderse contra ataques de fuerza bruta.

Invoice My Clients utiliza inteligencia artificial para ayudarle a crear facturas y gestionar su negocio de manera más eficiente. Entendemos que la IA presenta consideraciones de seguridad únicas, y queremos ser completamente transparentes sobre cómo funcionan estas tecnologías y cómo se protegen sus datos.

Amazon Bedrock (Alojamiento de modelos de IA)

Nuestras funciones de IA funcionan con Amazon Bedrock, el servicio completamente administrado de AWS para modelos base. Bedrock proporciona garantías de seguridad críticas:

• Sus datos no se utilizan para entrenar ni mejorar modelos base — AWS Bedrock lo garantiza explícitamente.
• Todas las solicitudes de inferencia de modelos están cifradas en tránsito (TLS 1.2+) y se procesan en entornos de cómputo aislados.
• Los datos permanecen dentro de la región de AWS (EE.UU. Este) — no se transmiten a proveedores de modelos de terceros.
• AWS Bedrock cumple con SOC, ISO y HIPAA.
• Todas las llamadas a la API de Bedrock están autenticadas y registradas a través de AWS CloudTrail para su auditoría.

Para más información sobre la seguridad y cumplimiento de Amazon Bedrock, visite: aws.amazon.com/bedrock/security-compliance

Modelos Claude de Anthropic

Utilizamos los modelos Claude de Anthropic (Claude Sonnet 4.5 y Claude Haiku 4.5) accedidos exclusivamente a través de Amazon Bedrock. Esto significa:

• Anthropic no recibe, almacena ni tiene acceso a sus datos — todas las solicitudes permanecen dentro de la infraestructura de AWS.
• Los modelos Claude están diseñados con métodos de seguridad de IA Constitucional para evitar resultados dañinos.
• Ningún dato del cliente se utiliza para el entrenamiento de modelos — esto está garantizado contractualmente tanto por AWS como por Anthropic.
• Los modelos Claude son evaluados por auditores independientes en cuanto a seguridad y fiabilidad.

Cómo se manejan sus datos con la IA

Hemos implementado controles estrictos para asegurar que sus datos comerciales se manejen de forma responsable al interactuar con funciones de IA:

Nuestro servidor de Protocolo de Contexto de Modelo (MCP) proporciona un puente seguro entre los agentes de IA y sus datos de facturación:

• Todas las solicitudes MCP requieren autenticación JWT de Cognito válida — no se permite acceso anónimo.
• Autenticación por clave API con hash SHA-256 para comunicación máquina a máquina.
• El aislamiento de contexto por sesión asegura que los agentes de IA solo puedan acceder a datos del usuario autenticado.
• Todas las operaciones pasan por las reglas de autorización de AWS AppSync antes de llegar a la base de datos.
• La validación de solicitudes mediante esquemas Zod previene ataques de inyección y datos malformados.

Estamos comprometidos a darle control total sobre sus datos:

• Puede solicitar una exportación completa de todos sus datos en cualquier momento.
• Puede solicitar la eliminación completa de su cuenta y todos los datos asociados — consulte nuestra Política de Eliminación de Datos.
• No vendemos, alquilamos ni compartimos sus datos personales o comerciales con terceros para fines de marketing.
• Nuestra Política de Privacidad detalla exactamente qué datos recopilamos y cómo se utilizan.
• Cumplimos con las regulaciones de protección de datos aplicables, incluyendo los principios del RGPD y la CCPA.

Mantenemos un plan estructurado de respuesta a incidentes para abordar rápidamente cualquier evento de seguridad:

• Registro de AWS CloudTrail para toda la actividad de la API, proporcionando un rastro de auditoría completo.
• Monitoreo de Amazon CloudWatch con alertas en tiempo real sobre comportamiento anómalo.
• Detección automatizada de amenazas a través de las protecciones a nivel de infraestructura de AWS.
• Procedimientos de escalación definidos con personal de respuesta de seguridad designado.
• Compromiso de notificar a los usuarios afectados dentro de las 72 horas en caso de una violación de datos, en cumplimiento con las regulaciones aplicables.

Mejora Continua

La seguridad no es un esfuerzo único — es un proceso continuo. Monitoreamos continuamente nuestros sistemas, revisamos patrones de acceso, actualizamos dependencias y nos adaptamos a amenazas emergentes. Nos mantenemos al día con los avisos de seguridad de AWS, la investigación de seguridad de Anthropic y las mejores prácticas de la industria para asegurar que sus datos permanezcan protegidos.

Documentos Relacionados

Preguntas de seguridad y contacto

Si tiene preguntas sobre nuestras prácticas de seguridad o desea reportar una preocupación de seguridad, por favor contacte a nuestro equipo de seguridad: