Seguridad

• Cifrado en tránsito mediante TLS 1.2+ (HTTPS) en todas las conexiones y en cada salto del recorrido. Tu información nunca viaja en texto plano.
• Cifrado en reposo de la información almacenada.
• Tu llave de IA se cifra a nivel de campo con AES-256-GCM y solo se descifra en el servidor para procesar tus consultas; nunca se expone al navegador ni se guarda en texto plano.

Cuando consultas un documento, su texto recorre este camino, siempre sobre conexiones cifradas (TLS/HTTPS):

• De tu navegador a Cory.
• De Cory a OpenRouter, usando tu propia llave (BYOK).
• De ahí al modelo que elijas.

Conviene tener presente un límite inherente a toda IA en la nube: el modelo necesita leer el texto para poder responderte, así que ningún servicio de este tipo ofrece un cifrado de extremo a extremo en el que el proveedor no pueda ver el contenido. Para información especialmente sensible recomendamos anonimizarla antes de enviarla o no incluirla. Con BYOK, además, tú decides en tu propia cuenta de OpenRouter la política de retención y de uso de datos que aplican los editores de los modelos.

• Autenticación gestionada y control de acceso por roles (RBAC).
• Validación de propiedad en cada solicitud: la información de una organización no es accesible desde otra.
• Aislamiento multi-inquilino reforzado en la capa de servicio y con políticas a nivel de base de datos en las tablas críticas.

• No usamos tu contenido para entrenar modelos. Tus documentos y consultas son tuyos.
• Modelo BYOK estricto: aportas tu propia llave de IA y Cory nunca concentra tu saldo. Tú controlas tu cuenta de OpenRouter, el modelo y el gasto.
• Minimización y borrado: los datos asociados a una conversación se eliminan cuando la eliminas; las copias de respaldo se purgan tras un periodo acotado.

• Las citas a tus documentos son pasajes textuales tomados del propio documento. Las cifras, fechas y montos de cada afirmación se comprueban contra su pasaje. Si Cory no ubica un pasaje, no presenta el dato como un hecho. La cita abre el documento en su página de origen.
• Cory es asistencia, no asesoría jurídica: las salidas deben revisarse con criterio profesional.
• Aplicamos un corpus de pruebas contra inyección de prompts inspirado en los lineamientos de OWASP para reducir manipulaciones del modelo.

Cory se apoya en proveedores de primer nivel: alojamiento y entrega en Vercel, base de datos y almacenamiento en Supabase, procesamiento de modelos a través de OpenRouter, procesamiento en segundo plano con Inngest y límites de uso con Upstash. Mantenemos registros de actividad para auditoría y respuesta a incidentes.

Tratamos los datos personales conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013, y orientamos nuestras prácticas según los principios de marcos reconocidos internacionalmente de seguridad de la información. Consulta la Política de Tratamiento de Datos para el detalle de tus derechos.