1. Enfoque de seguridad
DIRI AI utiliza controles basados en el riesgo destinados a proteger la confidencialidad, la integridad y la disponibilidad. La seguridad es compartida: DIRI AI protege el servicio y la infraestructura configurada; los clientes protegen a sus usuarios, dispositivos, credenciales, decisiones sobre el contenido y decisiones de los administradores.
Esta descripción general explica el diseño de los controles. No afirma que DIRI AI cuente con certificación ISO 27001, SOC 2 o PCI DSS, con cobertura de pruebas de penetración ni con un servicio ininterrumpido. Las certificaciones de los proveedores no se convierten en certificaciones de DIRI AI.
2. Controles de identidad, acceso e inquilinos
Los controles incluyen:
- identidades de usuario únicas y cookies de sesión de producción protegidas;
- autorización en el servidor, basada en roles y limitada a cada inquilino;
- invitaciones, roles y bajas de miembros gestionados por el administrador;
- acceso de mínimo privilegio a los sistemas de producción y a las cuentas de proveedores;
- entornos y configuración de producción y de no producción segregados;
- límites de frecuencia y controles contra el abuso; y
- registros de auditoría de los eventos de administración y de suscripción relevantes para la seguridad.
DIRI AI prueba el acceso entre inquilinos, revisa los privilegios y verifica los controles de recuperación de cuentas. La autenticación multifactor debe activarse en las cuentas de proveedores y privilegiadas y ponerse a disposición de los clientes cuando sea posible.
3. Protección de datos
El tráfico admitido utiliza TLS en tránsito. Los proveedores gestionados cifran los datos almacenados en reposo con sus controles estándar, y la información sobre proveedores y transferencias figura en la Lista de subencargados del tratamiento. Los secretos deben mantenerse fuera del código fuente y de los registros ordinarios. La introducción de la tarjeta de pago se delega en el proveedor de pagos, por lo que DIRI AI no necesita el número completo de la tarjeta.
El almacenamiento de grabaciones de voz está desactivado por defecto. La telemetría debe sanearse y el Contenido del Cliente debe excluirse de los registros rutinarios cuando sea factible. La depuración en producción debe ser limitada en el tiempo, autorizada y registrada.
4. Seguridad de las aplicaciones
DIRI AI utiliza revisión de cambios, pruebas automatizadas, comprobaciones de dependencias y secretos, controles de entrada de confianza y retrollamadas firmadas de los proveedores para proteger los cambios en la aplicación y las integraciones externas.
El acceso de proveedores, el registro y la facturación están protegidos por los controles de acceso, legales, de facturación y de seguridad aplicables. Esos controles no se debilitan simplemente para poner una función a disposición.
5. Supervisión y respuesta a incidentes
El servicio utiliza telemetría saneada de errores de la aplicación, métricas operativas, registros de auditoría y eventos de proveedores. DIRI AI revisa la cobertura de la supervisión, las cuotas, la entrega de alertas y la responsabilidad operativa tras cambios importantes. Las métricas internas no son analítica de marketing.
Los presuntos incidentes se clasifican, contienen, investigan, corrigen y documentan conforme a la Política de seguridad y notificación de incidentes. Las obligaciones relativas a las violaciones de la seguridad de los datos personales se evalúan por separado de los eventos ordinarios de disponibilidad.
6. Disponibilidad, copias de seguridad y recuperación
La arquitectura utiliza proveedores gestionados de alojamiento, base de datos, caché y colas y almacenamiento de objetos. DIRI AI prueba la configuración de copias de seguridad, restauración, reintento de colas y ciclo de vida de los datos. En los planes estándar no se promete ningún objetivo de tiempo de recuperación ni de punto de recuperación hasta que se midan formalmente y se contraten.
Los planes estándar no tienen un SLA porcentual de disponibilidad. Ello no limita los derechos imperativos del consumidor en materia de conformidad y de remedios.
7. Riesgo de los proveedores
Los proveedores se revisan en cuanto a finalidad, acceso, condiciones contractuales, información de seguridad, lugares de tratamiento, mecanismo de transferencia, conservación y supresión. Solo se envían los datos mínimos necesarios. La Lista de subencargados del tratamiento identifica a los proveedores utilizados para las funciones cubiertas.
8. Responsabilidades del cliente
Los clientes deben:
- utilizar credenciales sólidas y únicas y autenticación multifactor cuando esté disponible;
- mantener actualizados los dispositivos, navegadores e integraciones;
- conceder los roles mínimos, revisar la pertenencia y dar de baja con prontitud a quienes se marchan;
- evitar subir datos sensibles innecesarios o datos de clientes reales;
- verificar las exportaciones antes de cerrar la cuenta y proteger los archivos descargados;
- configurar una conservación lícita y los avisos a los empleados; y
- comunicar con prontitud cualquier sospecha de compromiso sin divulgar públicamente detalles explotables.
9. Comunicación de vulnerabilidades
Envíe un informe conciso a security@diriai.com con la ruta afectada, los pasos de reproducción, el impacto y una prueba segura. No acceda a los datos de otro cliente, no interrumpa el servicio, no utilice ingeniería social, no extraiga datos ni exija un pago. Deje de probar tras confirmar el problema y conceda un tiempo razonable para la investigación.
No existe un programa público de recompensas por errores ni un programa amplio de puerto seguro, salvo que se publique por separado. Los informes de buena fe se tratarán de forma responsable, pero esta descripción general no autoriza conductas que de otro modo serían ilícitas.
10. Contacto y versión
Informes de seguridad: security@diriai.com. Incidentes de privacidad: privacy@diriai.com. Versión: 1.2.0. Fecha: 30 de agosto de 2026.