Los planos de tus clientes, tratados con cuidado.

Los datos de inspección se guardan en una base de datos PostgreSQL y los archivos (planos, modelos, adjuntos, salidas de MMC) en un almacenamiento de objetos privado, ambos alojados en Supabase. La región de alojamiento se configura en cada despliegue; pregúntanos en qué región está tu espacio de trabajo.

La API de Deburr funciona en Render. Los archivos nunca son públicos: cada subida y descarga pasa por un enlace firmado de corta duración que la API solo emite tras comprobar que perteneces a la organización y tienes el rol adecuado.

Cada registro lleva el ID de su organización, y cada consulta se limita a la organización en la que estás trabajando. Las actualizaciones en directo en el navegador están protegidas por la seguridad a nivel de fila de Postgres.

En tránsito: todo el tráfico entre tu navegador, la API, el almacenamiento y nuestros proveedores usa HTTPS (TLS).

En reposo: la base de datos, el almacenamiento de archivos y las copias de seguridad están cifrados en reposo por nuestro proveedor de alojamiento.

Para leer un plano, Deburr envía la imagen del plano y su texto a un proveedor de modelos de IA. Los mensajes al copiloto se envían igual. Usamos condiciones de API en las que los proveedores no entrenan con tus datos.

No usamos tus planos para crear conjuntos de entrenamiento o de prueba sin tu permiso por escrito. Pregúntanos qué proveedor de IA usa tu espacio de trabajo y te lo diremos.

La IA sugiere; las personas deciden. Las lecturas dudosas se marcan para revisión, y el copiloto no puede firmar, aprobar ni borrar nada. Esas acciones siempre necesitan el clic de una persona.

Cada persona de tu organización tiene un rol: propietario, administrador, aprobador, inspector o lector. La API comprueba la pertenencia y el rol en cada petición, no solo en la interfaz.

Puedes exigir un aprobador independiente, para que nadie apruebe su propio primer artículo. Los informes aprobados quedan bloqueados hasta que alguien con el rol adecuado los reabre, y la reapertura queda registrada.

Cuando compartes un informe con un cliente, el enlace es de solo lectura, caduca y se puede revocar.

Cada lectura, cambio, comentario y firma se escribe en un registro de eventos de solo anexado. La base de datos rechaza modificaciones y borrados en él, y cada entrada incluye un hash de la anterior, así que cualquier manipulación rompe la cadena. Deburr puede recorrer la cadena de nuevo para verificarla.

Las firmas electrónicas exigen volver a autenticarse. El firmante vuelve a introducir su contraseña (o un código de un solo uso nuevo) en el momento de firmar. Cada firma registra el nombre del firmante, su significado (elaborado o aprobado), la hora, la dirección IP, el navegador y un hash SHA-256 del contenido del informe tal como se firmó.

El trabajo ITAR y CUI está disponible como complemento con coste adicional. Se hace en un espacio de trabajo separado con control de acceso, con un precio aparte de tu plan. Pídenos presupuesto y detalles.

El espacio de trabajo estándar es para trabajo comercial. Al subirlo, analizamos cada plano en busca de marcas de control de exportación como ITAR, EAR99, "export controlled", CUI y referencias USML. Si encontramos una, la subida se bloquea y el archivo guardado se borra, y te indicamos el complemento ITAR.

Este análisis es una red de seguridad, no una garantía: solo detecta planos que estén marcados. Mantén los datos técnicos controlados fuera del espacio de trabajo estándar.

Archivos: pídenos que borremos planos o archivos concretos y lo haremos. Los administradores también pueden borrar primeros artículos en la aplicación.

Toda tu organización: el propietario puede borrar la organización desde la configuración con un clic. Eso elimina de forma permanente sus registros y archivos guardados. Antes hay que cancelar cualquier suscripción activa.

Las copias en las copias de seguridad cifradas de nuestro proveedor de alojamiento caducan según su calendario de copias.

Los pagos con tarjeta los gestiona Dodo Payments, nuestro merchant of record. Los números de tarjeta nunca llegan a los servidores de Deburr. Los planes anuales también se pueden pagar con factura u orden de compra.

Somos una empresa joven y preferimos decirlo antes que dar a entender otra cosa. Hoy no tenemos un informe SOC 2 ni un certificado ISO 27001. SOC 2 está en nuestra hoja de ruta. Mientras tanto, rellenamos con gusto tu cuestionario de seguridad y hablamos con tu equipo de IT.

¿Has encontrado una vulnerabilidad? Escribe a hello@getdeburr.com con "Security report" en el asunto. Respondemos rápido y te damos crédito si quieres.