Seguridad · Confianza
Cada versión pública se publica firmada, atestiguada y con un inventario de componentes de software — verificas la procedencia y la integridad con herramientas públicas en lugar de fiarte de nosotros. La primera versión etiquetada, la v26.8.0, está publicada; sus artefactos son la evidencia.
Cadena de suministro
El pipeline de release genera estos artefactos automáticamente, y todos ellos están en la primera versión etiquetada, la v26.8.0 (2026-09-01): descarga los artefactos y verifícalos con herramientas públicas.
Los binarios de versión se construyen con GitHub Actions con atestación de procedencia SLSA mediante slsa-github-generator. La atestación demuestra que el binario se generó a partir del código fuente confirmado, en un entorno de compilación reforzado, sin intervención manual.
Cómo funciona la verificaciónEl manifiesto de checksums y la imagen de contenedor se firman con Sigstore cosign (modo sin clave vía Fulcio + Rekor); los archivos llevan atestaciones SBOM y OpenVEX y el conjunto lleva procedencia SLSA, cada uno verificado por su propia ruta. Puedes verificar sin que distribuyamos una clave pública: el registro de transparencia es la raíz de confianza.
Guía de verificaciónCada versión incluye SBOM en formatos CycloneDX y SPDX, con el listado de cada dependencia, su versión y licencia. Legible por máquina, auditable.
Cómo verificar el SBOMLas vulnerabilidades conocidas y su aplicabilidad a cada versión se publican como documentos OpenVEX. Las declaraciones VEX distinguen entre "afectado", "no afectado" y "en investigación".
Cómo se verifican los avisosUna política de divulgación de vulnerabilidades legible por máquina en /.well-known/security.txt, conforme a RFC 9116. Incluye contacto, enlace a la política y fecha de caducidad.
Ver security.txtArquitectura
El estado desconocido se deniega, no se permite. Cada decisión de política usa denegación por defecto: un motor que no puede alcanzar su almacén de políticas rechaza todas las solicitudes en lugar de fallar en abierto.
El libro de auditoría es de solo anexión con encadenamiento criptográfico. Los eventos no pueden modificarse ni eliminarse silenciosamente: la manipulación rompe la cadena y es detectable.
El motor se ejecuta completamente en tu entorno. La verificación de licencia es offline (comprobación de firma Ed25519). Sin telemetría, sin llamadas de red obligatorias, sin servidor de activación.
RBAC y ABAC basados en Cedar con concesiones acotadas. Roles personalizados, techos de delegación y acceso de emergencia con doble control. El conjunto de permisos por defecto está vacío.
Cumplimiento
Publicamos lo que está vivo y lo que aún no hemos comenzado. No reclamamos certificaciones que no hayamos obtenido.
RFC 9116 security.txt
Política de divulgación de vulnerabilidades legible por máquina, viva en /.well-known/security.txt.
SLSA Build Level 3
Atestación de procedencia mediante slsa-github-generator — construida y ejercitada en CI; se publica con cada versión etiquetada.
SBOM (CycloneDX + SPDX)
Inventario de componentes de software generado en cada build de versión.
Firmas cosign sin clave
Firma de artefactos basada en Sigstore vía Fulcio + Rekor.
Avisos OpenVEX
Declaraciones de aplicabilidad de vulnerabilidades por versión.
SOC 2 Type II
Planificado. Necesario para la modalidad de nube gestionada, no para autoalojamiento.
ISO 27001
Planificado. Calendario sin comprometer.
Test de penetración independiente
Planificado. Se publicará cuando se complete.
Postura por marco
El producto mapea capacidades a 26 catálogos de marcos de cumplimiento. A continuación se muestra la postura de preparación para los marcos más solicitados por compradores enterprise. Cada elemento es un mapeo de preparación, no una certificación.
Mapeo de controles del Anexo A con punteros a evidencia. No certificado.
Mapeo de preparación AIMS — el producto genera la evidencia que un AIMS necesita. No certificado.
Mapeo de Trust Services Criteria (Security / Common Criteria). Sin atestación.
Plantilla de documentación técnica Anexo IV. El producto es tooling de gobernanza, no un sistema del Anexo III.
Autoevaluaciones CAIQ v4 y AI-CAIQ (AICM v1.0) preparadas. No enviadas al STAR Registry.
Runbook RTBF con crypto-shred, atestación de residencia, retención y retención legal. Self-hosted: el cliente es responsable y encargado del tratamiento.
Mapeo de subcategorías incluyendo el Perfil de IA Generativa (AI 600-1).
Exportación de vista de riesgo ICT; el generador del Registro de Información es un add-on enterprise.
Mapeo de obligaciones con postura de cadena de suministro ICT y evidencia de notificación de incidentes.
Paquete de confianza
El paquete de confianza se puede descargar desde este Centro de confianza y se incluye en el repositorio público del código fuente. Los compradores enterprise pueden solicitar el paquete completo — incluyendo cuestionarios prerrellenados y la guía de evaluación — vía enterprise@olivares.ai.
Los archivos disponibles son instantáneas Markdown públicas con procedencia de origen. Los elementos sin una fuente compartible siguen disponibles bajo petición.
CSA Cloud Controls Matrix v4 — 17 dominios con punteros a evidencia.
Descargar (Markdown)CSA AI Controls Matrix v1.0 — 18 dominios incluyendo Model Security.
Descargar (Markdown)33 respuestas pre-verificadas alineadas a SIG 2026, CSA AI-CAIQ y cuestionarios habituales de comprador.
Descargar (Markdown)Arquitectura para el comprador: tres zonas de confianza, topologías de despliegue, HA/DR, dimensionamiento.
Descargar (Markdown)Prueba de valor en 10 días laborables — criterios pass/fail contra el binario real.
Descargar (Markdown)Comparativa completa Community (AGPL) vs Enterprise — el conjunto completo de add-ons Enterprise.
Descargar (Markdown)Verificación del modelo de amenazas con evidencia file:line — listo para pentest.
Disponible bajo peticiónVoluntary Product Accessibility Template para la consola de administración.
Descargar (Markdown)Tratamiento de datos
Olivares AI es software self-hosted. Los datos de gobierno de Olivares — inventario, mapa de acceso, estado de políticas y evidencia de auditoría — se quedan por defecto en infraestructura que tú controlas, y no hay sub-encargados del tratamiento de datos del cliente. Las peticiones a proveedores de modelos gestionados, y los destinos de salida o telemetría que configures, van a los proveedores que tú eliges — son tus proveedores, no los nuestros; el producto los cataloga en el inventario para tu gestión de riesgos de terceros. Olivares no hace ninguna llamada a casa obligatoria.
Si se introduce una oferta de nube gestionada, los sub-encargados se listarán aquí antes de que comience cualquier tratamiento de datos.
Nuestro sitio web, licencias y comunicaciones funcionan sobre:
Alojamiento web, DNS y protección antibot.
Correo transaccional y entrega del boletín.
Merchant of record para licencias comerciales.
Alojamiento del código fuente y comunidad.
No utilizamos ningún proveedor de analítica del lado del cliente ni ejecutamos analítica en el navegador.
Veríficalo tú mismo
Cada afirmación sobre artefactos de esta página es verificable con herramientas públicas contra la versión publicada — el script incluido verifica los ficheros que reconoce (el manifiesto de checksums firmado con cosign, las atestaciones SBOM y OpenVEX, la procedencia SLSA) y dice cuáles omite; las imágenes de contenedor se verifican por digest. Descarga primero los artefactos; nunca canalices un instalador a una shell.
# Descarga los artefactos de la versión (v26.8.0 o posterior) y ejecuta
# el verificador incluido desde ese directorio:
scripts/verify-release.sh # sin clave (Sigstore)
scripts/verify-release.sh --key cosign.pub --offline # air-gap, sin redEl script comprueba firmas cosign, procedencia SLSA y las atestaciones de SBOM y OpenVEX. La cadena completa de comandos manuales está documentada en la guía verify-a-release de la documentación.
Despliega el estate de demostración en cinco minutos y luego ejecuta la prueba de valor completa en 10 días laborables. La guía de evaluación incluye criterios pass/fail contra el binario real — sin slides, sin sandbox, sin entorno de demo diferente al de producción.
Todavía no. Existen mapeos de preparación para ambos — SOC 2 (Trust Services Criteria) e ISO 27001 (controles del Anexo A) — con punteros a evidencia en el código. SOC 2 Type II está planificado para la modalidad de nube gestionada. Publicamos postura, no afirmaciones.
Todavía no. El programa está comprometido con alcance, cadencia y presupuesto documentados. El primer test independiente está planificado para después del lanzamiento; los resultados se publicarán.
Ejecuta el script de verificación incluido (scripts/verify-release.sh) sobre los artefactos descargados de la v26.8.0 o posterior, o verifica manualmente con cosign — el manifiesto de checksums está firmado con cosign, los archivos llevan atestaciones SBOM y OpenVEX y el conjunto lleva procedencia SLSA. Sin necesidad de confiar en nosotros: el registro de transparencia es la raíz de confianza.
Olivares AI es self-hosted: tus datos permanecen en tu propia infraestructura. El proveedor nunca ve, almacena ni procesa tus datos. No hay sub-encargados del tratamiento. La nube gestionada (cuando esté disponible) ofrecerá compromisos de residencia de datos.
Sí — hay un DPA del Art. 28 del RGPD disponible bajo petición a través de enterprise@olivares.ai para compras enterprise, incluso en self-hosted, donde sigues siendo el responsable y el encargado de tus propios datos. Una futura nube gestionada publicará su propio DPA y su lista de sub-encargados.
El producto mapea 26 catálogos de marcos incluyendo EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM y leyes estatales de IA de EE.UU. Cada marco es dato con evidencia por control, no una afirmación de certificación.
Instala una versión firmada o compila desde el código fuente, arranca el estate de demostración en cinco minutos y sigue la guía de evaluación de 10 días. Cada criterio es pass/fail contra el binario real. Contacta con enterprise@olivares.ai para una licencia de evaluación enterprise durante la POV.
El build AGPL es la plataforma completa — nada se elimina. Enterprise añade su conjunto completo de capacidades de mitigación de riesgos y operación a escala (multi-IdP, firewall de contenido, retención WORM, registro DORA, y más) más una excepción legal al copyleft AGPL y soporte comercial cuyo alcance se publica en el lanzamiento. La matriz completa de funcionalidades está en el paquete de confianza.
Cada versión pública se publica firmada, atestiguada y documentada — verifica la integridad tú mismo. La primera versión etiquetada, la v26.8.0, está publicada.