Seguridad del software
El panel es un CRM con pedidos, DNI de recojo y tokens de WhatsApp. Estas son las medidas que ya están en el producto, no un certificado ISO de papel.
1. Aislamiento
Cada tienda tiene un tenantId. Los webhooks llevan ?store=. Pedidos, chats e inventario no se mezclan entre cuentas.
2. Acceso
- Contraseñas con scrypt; nunca se guardan en claro.
- Cookie de sesión httpOnly, no leíble por JavaScript de terceros.
- Roles: dueño, admin, agente, operaciones. El dueño no se degrada solo desde el panel.
- Bitácora de quién cambió permisos de la IA o inició sesión.
3. Secretos
Tokens de Meta, Shopify, Aliclik, Zadarma, Drive y similares se cifran en reposo con AES-256-GCM (enc:v1:). Los logs de Integraciones ocultan secretos. No van a git. Un cambio brusco de ENCRYPTION_KEY deja ilegibles las claves viejas.
4. Transporte e infra
HTTPS en www.atriozagentic.com (Vercel). Base Postgres (Neon). Copias según esos proveedores. Páginas públicas de políticas sin píxeles de ads.
5. Integraciones
WhatsApp es solo Meta Cloud API (no WhatsApp Web no oficial). Apify y modelos de IA usan claves de plataforma o las tuyas, nunca en la URL. OAuth de Meta/Google pide el mínimo de alcances del flujo.
6. Tu responsabilidad
- Elige una clave larga y no la compartas en un ticket público.
- Invita solo a quien opera tu marca; revoca al salir.
- Rota tokens en Integraciones si un proveedor avisa filtración.
- El celular del dueño y el correo deben ser reales: ahí van avisos de brecha.
7. Incidentes
Escribe a [email protected] con la hora Lima y el id de tienda. No pegues tokens. Privacidad: política. Encargo: DPA.
Estos textos describen el producto AtriozAgentic. No sustituyen un dictamen de un abogado de tu jurisdicción. El RUC y el domicilio fiscal se publicarán en el aviso legal cuando la sociedad los tenga inscritos.