Seguridad de datos
idcom.ai está construido nativamente sobre AWS. Los datos de cada cliente viven en su propio espacio aislado, cifrados en tránsito y en reposo, con auditoría completa y un pipeline de ingesta asíncrono diseñado para integridad desde el día uno.
Cada cliente tiene su propio espacio dedicado en nuestra cuenta de AWS — prefijos S3 separados, claves de partición de DynamoDB, accesos IAM con alcance, y grupos de Cognito independientes. Cada solicitud al API se valida contra el claim del JWT antes de tocar cualquier ruta de datos. Ningún cliente puede leer los datos de otro, ni siquiera por error.
TLS 1.2+ en todas las conexiones en tránsito. Cifrado AES-256 en reposo en cada almacén de datos: S3 (SSE-S3), DynamoDB (claves administradas por AWS), datos del user pool de Cognito y cualquier instancia futura de RDS.
AWS Cognito con MFA opcional, configurable por cliente. Sesiones JWT de corta duración (1 hora) validadas criptográficamente en cada llamada al API. Las claves JWKS se actualizan automáticamente al rotar, así la plataforma sobrevive la rotación anual de Cognito sin caídas.
CloudTrail captura cada llamada al API de AWS. Los logs de CloudWatch se retienen seis meses. La ingesta asíncrona usa locks por cliente para evitar carreras entre cargas concurrentes; los workers son idempotentes ante reintentos; un sweeper programado recupera trabajos atascados y una dead-letter queue captura fallos permanentes — nada desaparece silenciosamente.
Versionado a nivel de bucket en S3 contra sobrescrituras accidentales. Point-In-Time Recovery en cada tabla de DynamoDB (ventana de 35 días). Protección contra eliminación en todos los recursos de estado. Bucket separado de access logs para reconstruir líneas de tiempo forenses.
Principios GDPR aplicados en toda la plataforma. Conscientes del LFPDPPP en México. SOC 2 Type I en el roadmap; los controles están diseñados para mapear a sus criterios. Residencia de datos en AWS us-east-1 por defecto; regiones LATAM o UE bajo solicitud.
Cómo funciona el aislamiento
Los datos de cada cliente viven detrás de su propio prefijo S3 y sus propias políticas IAM. La única forma de que el código acceda a los datos es a través de una solicitud validada por JWT cuyos claims coincidan con ese cliente.
Cómo funciona la ingesta de datos
Los archivos viajan desde tu navegador directamente al prefijo S3 aislado de tu cliente — nunca pasan por un servidor compartido. De ahí, un worker asíncrono valida, transforma y combina los datos con garantías sólidas contra escrituras parciales o corrupción silenciosa.
El navegador recibe una política prefirmada de corta duración (1 hora) con un límite duro de 200 MB aplicado en el borde de S3 — los bytes nunca atraviesan nuestros servidores.
Un lock en DynamoDB evita que dos cargas concurrentes de la misma fuente compitan. Los conflictos se rechazan de inmediato en lugar de corromper el dataset combinado.
Procesamiento asíncrono con transiciones de estado condicionales — las invocaciones duplicadas son no-ops. La validación de esquema, coerción de tipos y advertencias de calidad por columna corren antes de comprometer cualquier dato.
Un sweeper programado detecta trabajos atascados y una dead-letter queue captura los fallos permanentes. Las cargas abandonadas expiran automáticamente vía reglas de ciclo de vida en S3 — sin datos huérfanos.
Postura de cumplimiento
us-east-1 por defecto; regiones LATAM o UE bajo solicitud. Divulgación responsable
Tomamos los reportes de seguridad muy en serio. Si crees que has encontrado una vulnerabilidad en idcom.ai, escríbenos antes de divulgarla públicamente. Respondemos en menos de 48 horas.
security@idcom.aiPara otras preguntas de seguridad, escríbenos a hello@idcom.ai.