Seguridad

Cómo CitraChat protege los datos de tus clientes

Los datos se quedan en Brasil, viajan y reposan cifrados, cada cuenta solo ve lo que es suyo, y la atención tiene una ruta de IA de respaldo para no detenerse. Esta página enumera, sin rodeos, lo que hacemos y lo que todavía está en curso.

Datos verificados el 21 de octubre de 2026

Dónde se guardan los datos

• Base de datos en São Paulo. La base principal corre en Supabase, en la región sa-east-1, en Brasil.
• Procesamiento en São Paulo. Las funciones que atienden el sitio, el widget y WhatsApp corren en Vercel, en la región de São Paulo. Una conversación no cruza el océano para ser respondida.
• Subprocesadores declarados. Anthropic (modelo de IA), Vercel (hosting), Resend (correo) y Stripe (cobros). La lista completa, con la región de cada uno, está en la política de privacidad.

Cifrado y acceso

• En tránsito. Todo el tráfico usa TLS, y el sitio exige HTTPS de forma permanente (HSTS).
• En reposo. La base de datos y los archivos enviados se guardan cifrados en el proveedor.
• Credenciales de integraciones. Los tokens de acceso a Google Calendar y a WhatsApp se guardan cifrados y nunca aparecen en el panel.
• Acceso al panel. Autenticación por correo y contraseña, con la sesión validada en el servidor en cada solicitud. Los equipos tienen roles distintos, y cada persona entra con su propia cuenta.
• Aislamiento por cuenta. Las tablas de la base tienen reglas de acceso por fila: una cuenta no puede leer los datos de otra, ni siquiera por error.

Integraciones verificadas

• WhatsApp mediante la API oficial de Meta. Nada de API no oficial, que expone tu número a bloqueos. Los mensajes que llegan de WhatsApp tienen su firma verificada antes de ser procesados.
• Google Calendar verificado por Google. La integración pasó por la verificación de Google y lee solo los horarios libres y ocupados. No guardamos el contenido de los eventos.

La IA que responde por tus clientes

• Modelo declarado. Los agentes usan Claude, de Anthropic. Sabes qué IA conversa con tu cliente.
• Sin uso para entrenamiento. Las conversaciones no se usan para entrenar modelos de IA.
• La base consultable es ley. Cuando el agente tiene una base de conocimiento, las respuestas sobre lo que ella cubre salen de ella. Los precios, plazos y cifras no se inventan.
• Ruta de IA de respaldo. Si la API principal deja de estar disponible, una ruta de respaldo con los mismos modelos, en otro proveedor, asume la conversación. Y si ninguna ruta responde, el agente avisa que está inestable, anota el contacto del visitante y avisa al equipo. Ningún lead se pierde.

Protecciones del servicio

• Límite de uso por origen. Las rutas de chat, entrenamiento y envío de archivos tienen límite de solicitudes, lo que frena abusos y scripts.
• Cabeceras de seguridad. El panel no puede incrustarse en sitios de terceros, y el sitio envía las cabeceras de protección recomendadas.
• Pago sin guardar la tarjeta. El cobro lo hace Stripe. CitraChat nunca ve ni guarda los datos de la tarjeta.
• Consentimiento de cookies. El sitio solo activa analítica y marketing con tu permiso, con rechazo como opción predeterminada en Europa.

Tus derechos sobre los datos

• LGPD y GDPR. La política de privacidad tiene versiones para Brasil y para Europa.
• Retención. Los datos se conservan durante el contrato y hasta 90 días después de la cancelación. La eliminación anticipada se puede pedir en cualquier momento.
• Exportación y eliminación. Solicitudes por correo a contato@citra.chat, con respuesta en hasta 15 días.

Lo que todavía está en curso

Preferimos decir lo que falta a prometer lo que no existe. Hoy no tenemos una política propia de respaldo más allá de la que ofrece el proveedor de la base de datos, y no tenemos una certificación de seguridad independiente. Ambas están en nuestro roadmap. Si tu empresa necesita un acuerdo de procesamiento de datos o un SLA, escribe a contato@citra.chat.

¿Encontraste una vulnerabilidad?

Escribe a contato@citra.chat con el asunto "Seguridad". Respondemos a todo reporte responsable y te informamos sobre la corrección.

Preguntas frecuentes