Saltar al contenido

Seguridad tomada en serio, explicada sin rodeos.

Ordo resguarda el trabajo de tu empresa: solicitudes de clientes, contratos, alertas de producción. Por eso, cada decisión de arquitectura empieza por quién puede ver qué — y por dejar registrado quién hizo qué.

Aislamiento entre empresas

  • Alcance por workspace aplicado en todas las consultas, con políticas de acceso y pruebas automatizadas de aislamiento.
  • Tokens de API con alcance por workspace; un solo inicio de sesión para varias empresas sin mezclar datos.
  • Tareas confidenciales: solo quienes participan pueden leer el contenido, ni siquiera el administrador.

Acceso e identidad

  • Contraseñas y tokens almacenados únicamente como hash.
  • Inicio de sesión con Google vía OpenID Connect con los alcances mínimos: openid, email y profile.
  • Cloudflare Turnstile y límite de intentos en las pantallas de acceso, registro y recuperación.
  • Sesiones revocables y dominios de Google Workspace restringibles por empresa.

Auditoría

  • Cada cambio registra quién actuó — persona, integración, agente de IA o sistema —, qué cambió y cuándo.
  • Las acciones de los agentes aparecen como “agente en nombre de” una persona.
  • Retención de 7 a 365 días según el plan, o a medida en Enterprise.

Datos en tránsito y en reposo

  • HTTPS con HSTS en todo el servicio.
  • Archivos adjuntos servidos mediante enlaces temporales firmados.
  • Webhooks salientes firmados para que el destino valide el origen.
  • El widget y la extensión eliminan tokens, correos, documentos fiscales (como CPF/CNPJ) y tarjetas de los textos técnicos, y ocultan las contraseñas en las capturas.

Inteligencia artificial responsable

  • Ningún contenido de clientes se usa para entrenar modelos.
  • Ordo no envía datos a proveedores de IA por iniciativa propia.
  • El servidor MCP no tiene herramienta de eliminación y señala las acciones sensibles.

Dónde se ejecuta

  • En la nube de Ordo o en tu infraestructura (self-hosted), con el mismo código.
  • MariaDB, PostgreSQL o SQLite; correo entrante mediante Amazon SES o Postfix.
  • Copias de seguridad y monitoreo de errores con eliminación de datos sensibles.

Privacidad y cumplimiento

LGPD

Encargado del tratamiento de los datos del cliente, delegado de protección de datos designado y registros de acceso conforme al Marco Civil de Internet de Brasil.

RGPD (GDPR) y UK GDPR

Acuerdo de Tratamiento de Datos, cláusulas contractuales tipo para transferencias y apoyo en las solicitudes de los titulares.

CCPA/CPRA

Proveedor de servicios: no vendemos ni compartimos datos personales; respetamos Global Privacy Control.

Google y Chrome Web Store

Cumplimiento de la Política de Datos del Usuario de los Servicios de API de Google y de la política de Uso Limitado.

Documentos para tu equipo legal

Solicitar DPA firmado

¿Encontraste una vulnerabilidad?

Agradecemos la divulgación responsable. Escríbenos a [email protected] con los pasos para reproducirla. Respondemos lo antes posible y no tomaremos medidas contra investigaciones de buena fe que respeten los datos de los clientes.