Seguridad · Confianza
Self-hosted por diseño. Los datos de gobierno se quedan en infraestructura que tú controlas.
Olivares procesa prompts y salidas de sesiones gobernadas. Su grabador de E/S calcula un resumen SHA-256 de cada trama y encadena el resumen y la longitud, anclados al registro de auditoría; no guarda el contenido de la trama.
Tratamiento de datos
Qué tocamos y qué se queda contigo
Las sesiones procesan prompts y salidas; la grabación guarda evidencia de resúmenes, no su contenido. Los datos de gobierno permanecen en tu infraestructura por defecto. Las herramientas del proveedor guardan sus propios transcripts en su directorio de configuración del host; liberar la sesión no los purga. Los proveedores alojados reciben lo que envía la sesión. Los mensajes de los canales de comunicación se guardan con la protección de contenido configurada en el canal.
Funciona en tu infraestructura
El autoalojamiento te da control del servidor y su almacenamiento. Las llamadas a modelos gestionados, las fuentes conectadas y las exportaciones configuradas pueden cruzar tu perímetro de red.
Evidencia de grabación de sesiones
La grabación encadena resúmenes SHA-256 y longitudes de trama, anclados al registro de auditoría, no los bytes de prompts o salidas. Es automática en lanzamientos críticos y también puede solicitarla la política o el operador.
Redacción de secretos
Los valores secretos de la bóveda configurada se redactan antes de que la salida llegue al grabador. Puede haber datos personales en prompts, salidas, transcripts del proveedor y mensajes de comunicación guardados. La herramienta del proveedor escribe sus transcripts fuera de esa ruta de redacción.
Descubrimiento y acciones de agentes
El descubrimiento pasivo lee las fuentes configuradas. Los agentes operados pueden realizar acciones mediante sus herramientas; revisa sus permisos, políticas y credenciales antes de iniciarlos.
Destinos de red
Por ejemplo, la activación y renovación de licencias Business contactan con el servicio de licencias; los proveedores alojados y las integraciones configuradas usan conexiones de red. Autoalojar no convierte esas operaciones en offline.
Límites de retención
Las grabaciones y la evidencia del registro de auditoría solo admiten añadidos (append-only): un ajuste de retención no las purga. Los transcripts del proveedor en tu host siguen la retención de esa herramienta. La retención de Olivares no determina la de un servicio externo.
Divulgación de vulnerabilidades
Reportar un problema de seguridad
Damos la bienvenida a la divulgación coordinada y actuamos de buena fe con quien hace lo mismo. Los hallazgos en el propio modelo de seguridad son especialmente bienvenidos.
Reporta en privado a
security@olivares.aiPor favor, no abras una incidencia, pull request o discusión pública por una vulnerabilidad sospechada. Hay PGP disponible si lo pides antes de enviar los detalles.
Qué esperar
- Acuse de recibo en 3 días hábiles
- Evaluación inicial en 10 días hábiles
- Divulgación coordinada hasta 90 días, antes si sale el arreglo
Por favor, no envíes
Nada de secretos, credenciales o tokens reales (redáctalos), ni datos personales de clientes o terceros ni volcados de producción, y nada de explotación en vivo de sistemas que no sean tuyos. Describe el impacto sensible en vez de adjuntarlo — coordinaremos un canal seguro.
La línea soportada es la última versión etiquetada; los arreglos de seguridad entran en main y se publican en la siguiente versión etiquetada.
Subprocesadores
Quién más trata datos
Esta web no usa subprocesadores de analítica, publicidad ni seguimiento. Es un sitio estático con fuentes self-hosted, una Content-Security-Policy estricta de mismo origen y sin cookies. Se sirve a través de una red de distribución de contenidos, que solo maneja los metadatos de conexión necesarios para entregar la página — no recogemos datos personales cuando navegas.
Olivares es software autoalojado. Tú eliges los proveedores de modelos y los destinos de salida o telemetría de tu despliegue. Los servicios de nuestra web, licencias y comunicaciones se enumeran por separado en el Centro de confianza.
Centro de confianzaTratamiento de datos
Acuerdo de tratamiento de datos (Art. 28 RGPD)
Hay un Acuerdo de Tratamiento de Datos disponible a petición para compras enterprise. Como Olivares AI es self-hosted, en la mayoría de los despliegues sigues siendo el responsable y encargado de tus propios datos dentro de tu propia infraestructura; aun así, se puede firmar un DPA para formalizar las responsabilidades de una relación comercial.
Postura de compliance
Honestos sobre dónde estamos
Olivares AI no está certificado bajo SOC 2, ISO/IEC 27001, el Reglamento de IA de la UE ni ningún otro marco, y no hay ninguna auditoría en curso. Diseñamos el producto para que mapee a los controles que esos marcos examinan — registro de auditoría, control de acceso, integridad, cifrado y gestión de cambios — para que esté listo para auditarse cuando llegue el momento. La certificación formal (por ejemplo, SOC 2 Type 2) es un paso posterior que la arquitectura está hecha para habilitar; no bloquea el primer lanzamiento.
Marcos hacia los que diseñamos
-
SOC 2 / ISO 27001
Objetivos de control hacia los que diseñamos — no certificados, en el roadmap.
-
Reglamento de IA de la UE
Diseñado para apoyar sus expectativas de control y documentación.
-
CSA MAESTRO
Una metodología de modelado de amenazas con la que mapeamos — no es un estándar certificable.
-
Amenazas agénticas OWASP
Mapeado contra la lista de amenazas y mitigaciones agénticas.
-
Guías de CISA / NIST
Guías, no un estándar certificable — diseño-hacia, sin reclamar conformidad.
Cuando describimos alineación con marcos externos, es un mapeo técnico, no una certificación — y para estándares que aún no son definitivos es una señal de diseño-hacia, sin reclamar conformidad.
Integridad de la build
- Los releases están firmados criptográficamente, incluyen un inventario de software (SBOM) y llevan procedencia de build.
- Un único binario estático con seguridad de memoria, en imágenes de contenedor mínimas y endurecidas.
- Dependencias mínimas y fijadas — sin scripts de instalación que ejecuten código sin verificar.
- El escaneo de dependencias y de secretos bloquea cada cambio en CI.
Estas garantías rigen para cada versión etiquetada.
Objetivos de remediación
- Crítica 7 días
- Alta 14 días
- Media 30 días
- Baja siguiente release programado
Nuestra cadencia de remediación comprometida, en vigor desde el primer release etiquetado. Las vulnerabilidades explotadas activamente se tratan como críticas.
Business: seguridad en tiempo de ejecución y tus propias claves
Community incluye guardrails, DLP de salida y las comprobaciones deny-closed. Business añade un firewall de contenido, comprobaciones de salida de herramientas de servidor y de uso del ordenador, un circuit breaker, fijación de herramientas MCP, inteligencia de amenazas y claves en tu propio servicio de claves.
Preguntas de confianza
¿A dónde van mis datos?
Las sesiones procesan prompts y salidas; la grabación guarda evidencia de resúmenes, no su contenido. Los datos de gobierno permanecen en tu infraestructura por defecto. Las herramientas del proveedor guardan sus propios transcripts en su directorio de configuración del host; liberar la sesión no los purga. Los proveedores alojados reciben lo que envía la sesión. Los mensajes de los canales de comunicación se guardan con la protección de contenido configurada en el canal.
¿Estáis certificados en SOC 2 o ISO 27001?
Todavía no. El producto está diseñado para mapear a los objetivos de control de SOC 2 e ISO 27001 para que esté listo para auditarse, pero la certificación formal está en el roadmap y no se ha obtenido. No reclamaremos una certificación que no tenemos.
¿Cómo reporto una vulnerabilidad de seguridad?
Escribe en privado a security@olivares.ai — por favor, no abras una incidencia pública. Nuestra política completa, incluidos los plazos de respuesta, está en esta página y referenciada desde /.well-known/security.txt (RFC 9116). Acusamos recibo en tres días hábiles.
¿Ofrecéis un DPA?
Sí, hay un Acuerdo de Tratamiento de Datos del Artículo 28 del RGPD disponible a petición para compras enterprise. Contacta con enterprise@olivares.ai.
¿Preguntas de tu equipo de seguridad o de compras?
Reporta una vulnerabilidad a nuestro contacto de seguridad, o escríbenos para compras, un DPA o una revisión de seguridad.