Seguridad y confianza

Relacionado: Política de privacidad · Términos de servicio

1. Información general#

Clevera gestiona grabaciones de pantalla, material de productos y, a veces, inicios de sesión en tus propias aplicaciones, por lo que tratamos la seguridad como parte del producto. Diseñamos pensando en:

• acceso con privilegios mínimos
• flujos de datos cifrados
• acceso de corta duración a los archivos multimedia
• aislamiento claro de todo lo que interactúa con la web abierta

2. Resumen#

3. Infraestructura#

• Aplicación y base de datos. Nuestros servidores se gestionan con Laravel Forge en Hetzner UE (Alemania). La base de datos Postgres y la cola Redis solo aceptan conexiones desde el servidor de aplicaciones, no desde internet.
• Archivos. Las grabaciones, subidas y archivos multimedia generados se almacenan en Amazon S3 en EE. UU., con activos de marca públicos en la UE (Suecia). El contenido multimedia se entrega a través de Amazon CloudFront.
• Renderizado. Los vídeos se renderizan en tu propio navegador por defecto, por lo que la codificación final ocurre en tu dispositivo. Los renderizados en servidor se ejecutan en AWS Lambda en EE. UU.
• Visitas a sitios web. Los componentes que visitan sitios web por ti se ejecutan en dos lugares:
  • Nuestro propio escáner de sitios. Se ejecuta como un usuario del sistema independiente y restringido sin acceso a nuestras claves de API. Un cortafuegos de salida le impide acceder a redes internas y puntos finales de metadatos en la nube, lo que protege contra la falsificación de solicitudes del lado del servidor.
  • Browser Use. La navegación impulsada por IA se ejecuta en navegadores en la nube aislados en Browser Use, fuera de nuestra infraestructura.
• Ubicación de los datos. Los datos se procesan principalmente en EE. UU. y la UE. Actualmente no ofrecemos residencia de datos seleccionable por el cliente.

4. Protección de datos#

• En tránsito: todo el tráfico hacia Clevera utiliza TLS.
• En reposo:
  • Ciframos lo siguiente a nivel de aplicación:
    • tokens OAuth de integración
    • secretos de SSO
    • tus propias claves de API de proveedores
    • credenciales temporales de sitios web
    • enlaces de descarga de proveedores
  • Las contraseñas se almacenan solo como hashes unidireccionales.
  • Los archivos almacenados dependen del cifrado en reposo del proveedor de la nube (AWS SSE-S3).
• Acceso a archivos multimedia: los archivos privados se sirven solo a través de enlaces firmados que caducan, normalmente en 24 horas. Las subidas van directamente al almacenamiento a través de URL prefirmadas de un solo uso.
• Pagos: gestionados íntegramente por Lemon Squeezy. Los datos de la tarjeta nunca llegan a nuestros sistemas.
• Minimización de datos: enviamos a cada proveedor de IA solo lo que el trabajo necesita. Por ejemplo, las analíticas de visualización en vídeos compartidos solo conservan la clase de dispositivo y el país. La prevención de abusos utiliza hashes con clave en lugar de direcciones IP sin procesar.

5. Proveedores de IA#

Clevera utiliza modelos de IA de Google (Gemini), Anthropic (Claude) y OpenAI. También utiliza HeyGen para avatares de IA.

• Utilizamos estos proveedores bajo términos comerciales de API que no permiten el entrenamiento con tu contenido.
• Algunos proveedores conservan los datos de la API durante un período limitado, normalmente hasta 30 días, para la supervisión de abusos.
• Los archivos de vídeo que subimos para su análisis se eliminan del proveedor pocas horas después de finalizar el trabajo.
• No utilizamos tu contenido para entrenar modelos de IA.

6. Investigación de sitios web con IA y credenciales#

Las funciones "Grabar con IA" y la investigación de sitios web ejecutan un agente de IA en un navegador en la nube en Browser Use.

• Las credenciales se mantienen fuera del modelo. Las credenciales que proporcionas para una ejecución se pasan al navegador como secretos. Nunca se colocan en el prompt del modelo de IA y se redactan de los registros.
• Almacenamiento de corta duración. Por nuestra parte, las credenciales se mantienen cifradas solo mientras se ejecuta el trabajo y luego se descartan.
• Investigación restringida. Las ejecuciones de investigación tienen instrucciones de no iniciar sesión, enviar formularios ni realizar compras.
• Los inicios de sesión guardados son opcionales. Están desactivados por defecto y se habilitan por sitio. Puedes eliminarlos en cualquier momento y caducan tras 30 días de inactividad. Se eliminan con tu cuenta.
• Consentimiento. Antes de que el agente utilice una cuenta, la persona que configura la ejecución debe confirmar que tiene permiso para dar acceso a Clevera a la misma.
• Utiliza una cuenta de prueba. Recomendamos una cuenta de demostración o de prueba dedicada para la grabación.

7. Herramientas gratuitas#

Nuestras herramientas gratuitas en clevera.ai/tools funcionan sin necesidad de una cuenta, por lo que las protegemos, así como a quienes las usan, de las siguientes maneras:

• Sin almacenamiento de contenido por nuestra parte. Las entradas, subidas y resultados se procesan en memoria y se devuelven en la respuesta. No los escribimos en disco, en una base de datos ni en nuestros registros. Los registros de errores pueden contener el mensaje de error de un proveedor de IA, pero no tu entrada.
• Sin resultados públicos. Los resultados no obtienen un enlace compartible. Solo existen en la pestaña de tu navegador hasta que los copias o descargas.
• Las herramientas de navegador no suben archivos. Nuestras herramientas multimedia y calculadoras procesan archivos en tu dispositivo. Solo envían un registro de uso, nunca el contenido del archivo.
• Comprobaciones de archivos por contenido. Verificamos el tipo de archivo subido a partir de su contenido, no solo por su nombre o tipo declarado.
• Límites de tamaño. Texto de hasta 12 000 caracteres; imágenes de hasta 4 MB cada una, de 1 a 10 por ejecución; vídeo de hasta 20 MB, o los primeros 10 minutos de un vídeo público de YouTube. Para los subtítulos, tu navegador extrae los primeros 3 minutos de audio y solo envía eso.
• Metadatos eliminados. Tu navegador elimina los metadatos de las fotos, como los datos EXIF y la ubicación GPS, antes de que se suba una imagen.
• Sin direcciones IP sin procesar. Los límites de uso y bloqueos utilizan un hash con clave (HMAC) de tu dirección IP o red.
• Comprobaciones de bots. Las herramientas de IA utilizan Cloudflare Turnstile.
• Límites de uso y bloqueos automáticos. Se aplican límites horarios y diarios por dirección IP y por red. Las solicitudes rechazadas repetidamente conducen a un bloqueo automático durante 24 horas.
• Límites de gasto. Un límite de gasto restringe lo que las herramientas gratuitas pueden costarnos, por lo que no pueden utilizarse para generar un uso ilimitado de IA.
• Protección contra inyección de prompts. Tu entrada se pasa al modelo de IA como datos, manteniéndola separada de nuestras instrucciones. Las reglas del modelo rechazan solicitudes fuera de tema o dañinas.
• Proveedores de IA. Las herramientas de IA gratuitas utilizan la API Gemini de Google en un nivel de pago, y OpenAI para herramientas de texto cuando lo seleccionamos. Ninguno utiliza la entrada para entrenar sus modelos. Como se describe en la sección 5, pueden conservar los datos de la API durante un período limitado para la supervisión de abusos.

8. Seguridad de la cuenta#

• Autenticación de dos factores: códigos de aplicación de autenticación (TOTP), con códigos de recuperación.
• Verificación de nuevos dispositivos: cuando inicias sesión desde un nuevo dispositivo o ubicación, enviamos un código de un solo uso por correo electrónico. Los dispositivos de confianza se vuelven a verificar periódicamente.
• Inicio de sesión único:
  • SAML 2.0 y OpenID Connect en planes personalizados
  • compatible con Okta, Microsoft Entra ID, Google Workspace, OneLogin y otros proveedores de identidad estándar
  • los secretos de SSO están cifrados
• El inicio de sesión con Google está disponible para todos los usuarios.
• La limitación de velocidad protege los puntos finales de inicio de sesión, dos factores, verificación y API contra ataques de fuerza bruta y abusos.
• Roles de equipo: Propietario, Administrador, Editor y Creador de contenido. Cada rol controla lo que los miembros pueden ver y cambiar.
• Los tokens de API para la grabadora de escritorio están limitados a la grabación y pueden revocarse desde tu perfil.

9. Seguridad de la aplicación#

• Revisión de código y pruebas automatizadas en cada cambio.
• Protecciones del framework contra riesgos web comunes, incluidos tokens CSRF, escape de salida, consultas de base de datos parametrizadas y cookies firmadas.
• Higienización de archivos SVG subidos.
• Restricciones de política de seguridad de contenido (CSP) sobre qué sitios pueden integrarse en la aplicación.
• Verificación de firma en cada webhook entrante (Lemon Squeezy, HeyGen, Amazon SES).
• Secretos mantenidos fuera del control de fuentes, con credenciales de servicio de privilegios mínimos.

10. Acceso interno#

• El acceso a producción está limitado al personal autorizado que lo necesita.
• Las herramientas administrativas en la aplicación requieren un rol de administrador independiente.
• El personal solo revisa el contenido del cliente para proporcionar el soporte que solicitas, para investigar abusos o incidentes, o cuando la ley lo exige.

11. Registro y supervisión#

• Los registros de aplicación y seguridad se conservan durante unos 14 a 30 días para la resolución de problemas y la revisión de seguridad.
• Alertamos sobre tasas de error elevadas, trabajos fallidos y uso inusual. Una salvaguarda de costes diaria limita el uso descontrolado en cuentas gratuitas.
• La medición de uso y créditos está integrada en Clevera; no se utiliza ningún servicio de medición de terceros.

12. Respuesta ante incidentes#

Seguimos un proceso definido para clasificar, contener y solucionar incidentes de seguridad.

Si una brecha de datos personales le afecta, notificaremos a los clientes afectados sin demora indebida, tal como exige la ley. Bajo el RGPD, notificamos a las autoridades de control en un plazo de 72 horas cuando es necesario.

13. Copias de seguridad y continuidad#

• La base de datos Postgres se respalda diariamente mediante Laravel Forge. Cada copia de seguridad es un volcado comprimido almacenado en almacenamiento de objetos en la nube, cifrado en reposo por el proveedor de almacenamiento y conservado durante 7 días. Las copias de seguridad antiguas se eliminan automáticamente.
• Nuestros servicios pueden volver a desplegarse desde el control de versiones.
• Los trabajos de larga duración, como el renderizado, la investigación y la generación, se ponen en cola y se reintentan en caso de fallo.

14. Retención y eliminación de datos#

• Su contenido: se conserva mientras su cuenta esté activa.
• Papelera: los elementos en la papelera se eliminan permanentemente después de 7 días.
• Grabaciones no utilizadas: las grabaciones que no se utilizan en ningún vídeo se eliminan después de 15 días.
• La eliminación de la cuenta comienza inmediatamente. Esto:
  • cancela las suscripciones
  • revoca los tokens y los inicios de sesión guardados
  • elimina permanentemente las grabaciones, vídeos y archivos de los equipos propiedad del usuario poco después
• Las copias de seguridad caducan según su calendario de retención.

Los detalles completos se encuentran en nuestra Política de privacidad.

15. Cumplimiento#

• GDPR, UK GDPR y KVKK. Somos el responsable del tratamiento de los datos de la cuenta, facturación y sitio web. Para tu contenido, actuamos como encargado del tratamiento bajo nuestro Anexo de Procesamiento de Datos (DPA). Las transferencias internacionales utilizan Cláusulas Contractuales Tipo, el Anexo del Reino Unido o los contratos estándar de KVKK según sea necesario.
• CPRA. No vendemos ni compartimos información personal, y no participamos en publicidad conductual entre contextos.
• SOC 2 / ISO 27001. Nuestra auditoría SOC 2 está en curso, prevista para 2027. Planeamos obtener la certificación ISO 27001 en 2027.
• DPA: disponible bajo petición en team@clevera.ai.

16. Subprocesadores#

La lista completa, con categorías de datos y ubicaciones, se encuentra en nuestra Política de privacidad. Notificamos a los clientes sobre cambios materiales tal como describe nuestro DPA.

17. Divulgación de vulnerabilidades#

Si cree que ha encontrado un problema de seguridad, envíe un correo electrónico a team@clevera.ai con los detalles y los pasos para reproducirlo.

Por favor:

• pruebe solo contra su propia cuenta
• evite acceder o cambiar los datos de otras personas
• evite degradar el servicio
• evite el escaneo automatizado de alto volumen
• dénos un tiempo razonable para solucionar el problema antes de divulgarlo públicamente

Acusaremos recibo de su informe, le mantendremos informado y le daremos crédito si lo desea. No emprenderemos acciones legales contra la investigación de buena fe que siga estas directrices.

18. Contacto#

Seguridad y confianza: team@clevera.ai
Clevera Teknoloji AŞ, Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye