Seguridad

Construimos la plataforma con seguridad por diseño: cada operación sensible está protegida por autenticación, control de accesos y registros de auditoría. Trabajamos de forma continua para elevar nuestros controles a medida que el producto crece.

• Acceso mediante tokens de sesión de corta duración que se renuevan de forma segura, reduciendo la ventana de un token comprometido.
• Autenticación de dos factores (2FA) opcional mediante aplicación de códigos temporales (TOTP), con códigos de recuperación.
• Las contraseñas se almacenan cifradas (hash), nunca en texto plano.
• Control de accesos basado en roles (RBAC): cada miembro del equipo ve y hace solo lo que su rol permite.

• Cifrado en tránsito: todo el tráfico entre tu navegador y la plataforma viaja sobre TLS.
• Cifrado en reposo de credenciales sensibles: las credenciales de tus integraciones (tokens de canales, llaves de terceros) se almacenan cifradas con AES-256-GCM.
• Los datos de tarjetas son procesados directamente por la pasarela de pago; Zamdix no almacena el número completo de tu tarjeta.

• Cabeceras de seguridad HTTP y políticas de origen configuradas en el servidor.
• Validación estricta de todas las entradas de la API: se rechaza cualquier dato no esperado.
• Límites de tasa (rate limiting) para mitigar abuso y ataques de fuerza bruta.
• Verificación de firma (HMAC) en los webhooks entrantes de proveedores como Meta/WhatsApp, el motor de voz y las pasarelas de pago, para garantizar que provienen de la fuente legítima.

Zamdix es multi-tenant: la información de cada espacio de trabajo (workspace) está lógicamente separada de la de los demás. Las consultas y operaciones se acotan al workspace correspondiente para evitar el acceso cruzado entre clientes.

Las operaciones sensibles (cambios de configuración, acciones administrativas, gestión de credenciales y similares) quedan registradas en un historial de auditoría que permite saber qué se hizo, cuándo y por quién, con fines de seguridad y trazabilidad.

Cada workspace cuenta con un límite mensual de gasto en IA que se monitorea y aplica de forma automática, con avisos progresivos y bloqueo escalonado. Esto evita consumos inesperados o provocados por abuso.

No vendemos tus datos ni los usamos para entrenar modelos de IA públicos. Solo los compartimos con los proveedores estrictamente necesarios para operar el servicio, bajo obligaciones de confidencialidad, conforme a la Ley N° 29733 de Protección de Datos Personales de la República del Perú. Puedes revisar el detalle en nuestra Política de Privacidad.

Nuestras prácticas de seguridad se inspiran en marcos reconocidos de la industria, como SOC 2 e ISO 27001. Zamdix no declara, por el momento, contar con dichas certificaciones formales; trabajamos de manera continua para fortalecer nuestros controles y caminar hacia ese nivel de madurez.

Si descubres una posible vulnerabilidad de seguridad, te agradecemos reportarla de forma responsable escribiéndonos a security@zamdix.com. Pedimos no divulgarla públicamente hasta que hayamos tenido la oportunidad de investigarla y resolverla. Revisamos cada reporte y respondemos a la brevedad posible.