Confianza
Seguridad en NOLGIA
Última actualización: October 4, 2026
Cómo protegemos tus datos, quién los trata, en qué punto estamos en cumplimiento normativo y cómo reportar un problema de seguridad.
1. Alojamiento y cifrado
In short: NOLGIA funciona en Google Cloud, en Estados Unidos. Los datos se cifran en tránsito y en reposo.
- Nuestros servidores, la base de datos, el almacenamiento de archivos, las copias de seguridad y los registros funcionan en Google Cloud, y guardamos tus datos en Estados Unidos.
- Los datos se cifran en tránsito y en reposo.
- Tus archivos se guardan en un almacenamiento privado. La app accede a ellos mediante enlaces que expiran al poco tiempo.
- El acceso a los sistemas de producción está limitado al personal autorizado.
2. Inicio de sesión y acceso
In short: Las contraseñas se protegen con un hash argon2id. Las claves y los tokens se guardan solo como hashes.
- Puedes iniciar sesión con Google, con un correo y una contraseña, o con el inicio de sesión único de tu organización.
- Las contraseñas se guardan solo como un hash argon2id, nunca de una forma que podamos leer.
- Las claves de API, los tokens de acceso, los enlaces para compartir y los enlaces de invitación se guardan solo como hashes. Mostramos una clave una sola vez, cuando la creas.
- Puedes revocar los enlaces para compartir y los tokens en cualquier momento.
3. Inicio de sesión en dos pasos
In short: Las cuentas con contraseña pueden agregar una app de autenticación o llaves de acceso, y las organizaciones pueden exigirlo.
- Si inicias sesión con un correo y una contraseña, puedes activar el inicio de sesión en dos pasos con una app de autenticación o una llave de acceso en Configuración.
- Al activarlo recibes códigos de recuperación de un solo uso. Los guardamos solo como hashes, y los secretos del autenticador solo cifrados.
- Una llave de acceso que te verifica con Face ID, una huella digital o el PIN del dispositivo también puede iniciar tu sesión sin contraseña.
- Las organizaciones pueden exigir el inicio de sesión en dos pasos a los miembros que inician sesión con contraseña. Los miembros que inician sesión con Google, Apple o el inicio de sesión único siguen la configuración de dos pasos de ese proveedor, y las organizaciones con SSO lo aplican en su proveedor de identidad.
- Para cambiar cómo inicias sesión te pedimos de nuevo tu contraseña y el segundo paso, y cada cambio queda registrado en el historial de seguridad de tu cuenta.
5. Organizaciones, roles y SSO
In short: Cinco roles definen quién puede hacer qué. Enterprise agrega inicio de sesión único con SAML y OIDC y un registro de auditoría.
- Las organizaciones tienen cinco roles: Propietario, Administrador, Facturación, Miembro y Lector.
- Las organizaciones Enterprise pueden exigir el inicio de sesión único con cualquier proveedor de identidad SAML 2.0 u OIDC para su dominio verificado. A partir de ese momento, se rechazan los demás métodos de inicio de sesión para ese dominio.
- Las organizaciones Enterprise tienen un registro de auditoría de las acciones de la organización, con exportación.
Consulta Enterprise para más detalles.
6. Separación entre clientes
In short: Los datos de cada cuenta y de cada organización se mantienen separados de los de todos los demás.
Cada dato pertenece a una cuenta o a una organización, y cada solicitud se verifica contra ese propietario antes de devolver nada.
Cada NOLGIA Agent funciona en su propio espacio de trabajo, separado de los agentes de otros clientes.
7. Tu contenido y los modelos de IA
In short: No entrenamos modelos de IA con tu contenido.
No entrenamos modelos de IA con tu contenido. Algunos proveedores se reservan el derecho, según sus propios términos, de usar los datos que reciben para mejorar sus modelos. Nos excluimos cuando un proveedor lo permite, y nuestra página de subprocesadores señala a esos proveedores.
Los proveedores de modelos reciben solo lo necesario para los modelos que usas, y solo cuando los usas.
8. Eliminar tus datos
In short: Elimina tu cuenta en Configuración. Tus datos se borran en un plazo de 30 días, también de las copias de seguridad y los registros.
Tú mismo puedes eliminar elementos, chats y toda tu cuenta. Cuando eliminas tu cuenta, queda bloqueada durante 7 días por si cambias de opinión, y luego eliminamos de forma permanente tu Biblioteca, tus Personajes, tus proyectos, tus chats y tu espacio de trabajo del NOLGIA Agent, tus credenciales de inicio de sesión, tus tokens y tus claves. Los datos eliminados salen de nuestras copias de seguridad y registros en un plazo de 30 días desde tu solicitud. Solo conservamos los registros anonimizados que necesitamos para fines fiscales y contables. La Política de privacidad tiene el calendario completo.
9. Subprocesadores y el DPA
In short: Publicamos cada empresa que trata datos de clientes, y un anexo estándar de tratamiento de datos.
Nuestra página de subprocesadores enumera cada empresa que trata datos de clientes por nosotros, qué recibe cada una y dónde. Publicamos allí cada nuevo subprocesador principal al menos 15 días antes de que empiece.
Nuestro Anexo de tratamiento de datos cubre los datos personales que tratamos para clientes empresariales, incluida la notificación de brechas y las cláusulas contractuales estándar para transferencias internacionales.
10. Cumplimiento normativo
In short: Nos estamos preparando para SOC 2 Tipo II e ISO 27001.
Nos estamos preparando para SOC 2 Tipo II e ISO 27001. Pídenos las respuestas a nuestro cuestionario de seguridad en contact@nolgia.ai.
11. Reportar una vulnerabilidad
In short: ¿Encontraste un problema de seguridad? Escribe a security@nolgia.ai.
Escribe a security@nolgia.ai con una descripción del problema, los pasos para reproducirlo y lo que un atacante podría hacer con él. Te confirmaremos que recibimos tu reporte y te mantendremos al tanto mientras lo solucionamos.
- Haz pruebas solo con cuentas que sean tuyas, y nunca accedas a los datos de otras personas, ni los cambies ni los elimines.
- No hagas pruebas que ralenticen o interrumpan el servicio, y no uses phishing ni otras técnicas de ingeniería social.
- Danos un plazo razonable para solucionar el problema antes de hacerlo público.
Nuestro security.txt incluye el mismo contacto. Si una brecha afecta a tus datos personales, te lo notificamos a ti y a las autoridades como exige la ley.