Alojamiento
HONESTAS se ejecuta en uno de estos dos entornos, con el mismo software en ambos.
- Nuestra nube en la UE. Centros de datos en Irlanda. Sus datos se almacenan y tratan en la Unión Europea, y usted elige dónde se conserva cada tipo de dato: en nuestra nube de la UE o en su propio centro de datos.
- Su propio centro de datos. HONESTAS instalado en su propio hardware, bajo sus propios controles de red. Las actualizaciones llegan como paquetes firmados que usted aprueba antes de que se ejecuten.
En ambos casos, los registros sellados se escriben en un almacén de registros externo a la instalación, con un sello de tiempo externo, de modo que si una instalación se ve comprometida no pueda reescribir su historial.
Cifrado y claves
- Los datos se cifran en tránsito y en reposo, con una clave independiente para cada entidad.
- Puede custodiar sus propias claves en su propio almacén de claves. Si retira la clave, los datos que protege dejarán de poder leerse.
- Las claves que sellan los registros se mantienen separadas de las que protegen los datos y nunca están a disposición de las personas que firman las decisiones.
- Las llamadas a la IA se ejecutan en sus propias cuentas y con sus propias claves del proveedor de modelos, bajo sus propios contratos. Cada llamada queda registrada con la clave, el modelo y la versión utilizados.
- Los números de tarjeta nunca llegan a HONESTAS. Los clientes los introducen directamente en los campos del propio proveedor de pagos.
Aislamiento
Cada solicitud en HONESTAS identifica tres elementos: la entidad a la que pertenece, de quién son los datos y la unidad que realiza la consulta. Una solicitud que no indique los tres elementos es rechazada con el código SCOPE_REFUSED, y el rechazo queda registrado.
- Entre entidades. Cada aseguradora, corredor, MGA o TPA tiene su propio espacio y sus propias claves. En una sala de colocación compartida, la barrera entre mercados se comprueba antes de enviar cada mensaje.
- Entre propietarios. Un TPA o corredor que trabaja para varios clientes mantiene los expedientes de cada cliente bajo el nombre de ese cliente.
- Entre unidades. Equipos como la unidad de investigaciones especiales pueden aislarse dentro de una misma entidad.
Cada archivo subido se abre en un entorno aislado (sandbox) sin acceso a la red, se lee y se descarta.
Acceso
- Los usuarios inician sesión a través de su propio proveedor de identidad mediante SAML u OIDC, con las cuentas sincronizadas mediante SCIM. Las firmas de las decisiones utilizan llaves de acceso (passkeys) en el propio dispositivo del usuario.
- Los roles determinan qué puede ver y hacer cada persona. Los cambios sensibles, como un nuevo límite de autorización de suscripción o una nueva versión de un modelo, requieren la validación de una segunda persona.
- En caso de emergencia, se puede conceder acceso total a un administrador durante un breve periodo, bajo la supervisión de una segunda persona y con cada paso registrado.
- El acceso por parte del personal de Adverant es limitado, requiere aprobación y queda registrado.
Registros
Cada inicio de sesión, lectura, modificación, llamada a la IA y acción de administrador queda registrado indicando quién, qué, cuándo y desde dónde. Los registros (logs) se guardan fuera de su instalación, no se pueden editar y se conservan durante el periodo que usted defina. Puede enviarlos a sus propias herramientas de seguridad a través de la API de eventos.
Pruebas
- Evaluadores independientes someten a HONESTAS a pruebas para detectar vulnerabilidades. Corregimos los hallazgos por orden de gravedad.
- Cada compilación se firma y se comprueba que el software que contiene no presenta vulnerabilidades conocidas antes de su distribución.
- Los controles que rechazan decisiones, el sellado y las barreras entre entidades se ponen a prueba en cada versión.
Incidentes
Si un incidente afecta a sus datos, avisamos a su contacto de seguridad designado sin dilación indebida y seguimos el plan establecido en su contrato. Le proporcionamos una cronología desde la primera alerta y los datos necesarios para cumplir con sus propias obligaciones de notificación conforme a DORA y al RGPD.
Notificar un problema
Envíe un correo a security@honestas.ai. Por favor, incluya:
- qué ha encontrado y dónde (la dirección, pantalla o componente);
- los pasos para reproducirlo, con cualquier código de prueba de concepto o capturas de pantalla;
- qué podría hacer un atacante con ello, según su criterio;
- cómo contactar con usted y si desea recibir reconocimiento público.
Escriba en inglés si le es posible. Un informe claro es más útil que varios breves. Por favor, no incluya datos personales a los que haya podido acceder; descríbalos en su lugar. Corregimos primero los problemas más graves, le avisamos cuando la solución está publicada y acordamos con usted cuándo se pueden compartir los detalles.
Qué entra en el alcance
- honestas.ai y sus subdominios, incluida la consola de HONESTAS;
- HONESTAS tal como lo ejecutamos en nuestra nube de la UE, incluidos el inicio de sesión, el almacén de registros y el verificador de registros;
- las aplicaciones de HONESTAS para iOS y Android, el SDK para portales comerciales y la API pública.
Fuera del alcance: ataques a nuestro personal (phishing, ingeniería social), ataques físicos, denegación de servicio, hallazgos que requieran un dispositivo previamente comprometido e informes de escáneres automatizados sin un impacto demostrado. Una instalación en el propio centro de datos de un cliente pertenece a dicho cliente; por favor, notifique cualquier problema en ese entorno tanto al cliente como a nosotros.
Normas para investigadores
- Utilice únicamente cuentas y datos que sean suyos o que se le hayan facilitado para realizar pruebas.
- Haga solo lo mínimo imprescindible para demostrar el problema. Deténgase y avísenos en cuanto acceda a datos de otra entidad.
- No modifique ni elimine datos, no degrade el servicio ni mantenga el acceso más tiempo del necesario.
- Mantenga los detalles en privado hasta que hayamos acordado una fecha de divulgación.
Salvaguarda legal
Si actúa de buena fe y cumple estas normas, consideraremos su investigación como autorizada. No emprenderemos acciones legales contra usted ni le denunciaremos ante las autoridades por ello y, si un tercero lo hiciera, dejaremos claro que actuó con nuestro permiso. Esto no ampara actos que infrinjan la ley en aspectos que estas normas no puedan autorizar.
Divulgación
Preferimos publicar los detalles una vez que la solución esté disponible para todos los que la necesiten. Acordaremos los plazos con usted y no le pediremos que guarde silencio más tiempo del necesario para proteger a nuestros clientes. Si no estamos de acuerdo, le explicaremos el motivo.
Si es usted cliente, notifique cualquier sospecha de incidente a través del contacto de seguridad indicado en su contrato o mediante el soporte dentro de HONESTAS, para que podamos activar su plan de incidentes. Para consultar dónde residen sus datos y la normativa que cubrimos, visite el centro de confianza.
Última actualización: 23 de octubre de 2026