Seguridad, privacidad y hasta dónde llega la IA.
Cómo trata Cyril la seguridad, el aislamiento entre clientes y el acceso de la capa de IA a tus datos, incluidos los compromisos que aún no están en vigor.
- SOC 2 Tipo 1El Tipo 2 llega seis meses después del Tipo 1
- Preparando la primera auditoría
- RGPDAcceso, supresión, rectificación y portabilidad
- Pensado para el RGPD
- Acuerdo de tratamiento de datosPublicado para su evaluación
- Borrador, pendiente de revisión jurídica
- Entrenamiento de modelos con tus datosCondiciones publicadas de la API de los proveedores; todavía sin DPA firmado
- No se usan
- Ubicación principal de los datosHostinger, Lituania y Países Bajos
- UE, sin región en Australia
- Compromiso de disponibilidadPrelanzamiento, según los Términos del servicio
- Aún sin SLA
- Bug bountyReconocimiento público, sin acciones legales
- Solo reconocimiento
La IA trabaja dentro de tus permisos.
La IA de Cyril responde como el usuario concreto, no como la organización. La recuperación en las búsquedas se filtra con los mismos permisos de propiedad, rol y espacio de trabajo que la interfaz, y cada paso de un agente se comprueba en el servidor con el rol de quien pregunta. Eso se aplica en el código, no como una instrucción al modelo que alguien pudiera convencerle de saltarse.
Hay dos facturas vencidas, 55.867,00 en total.
No puedo mostrarte facturas. Tu rol no incluye Finanzas, así que no se ha recuperado ninguna.
Más controles sobre la capa de IA.
Como la IA lee los datos de tu empresa para ser útil, la sometemos a las mismas reglas de acceso que el resto de la plataforma, y decimos con claridad qué sale de nuestra infraestructura.
- El aislamiento se prueba, no se da por hecho
- Las pruebas automáticas de aislamiento entre roles se ejecutan en la integración continua con cada cambio en la API y deben superarse antes de fusionar el código. Las recuperaciones de la IA a través de Ask Cyril quedan anotadas en un registro interno de accesos.
- Los identificadores se enmascaran en las peticiones
- Antes de que una petición del chat llegue a un proveedor de modelos, los identificadores directos estructurados (direcciones de correo electrónico, números de teléfono, direcciones IP, números de la Seguridad Social y de identificación nacional, IBAN y números de tarjeta) se sustituyen por tokens reversibles, que se restauran en la respuesta que ves. Los identificadores en texto libre, como un nombre escrito en mitad de una frase, no se tokenizan, y el texto que se envía a OpenAI para generar los embeddings de búsqueda no se enmascara.
- Puedes desactivar la IA externa
- Un administrador de la organización puede desactivar por completo el procesamiento con LLM externos para su cliente. El interruptor se aplica en el único punto por el que pasa toda llamada a la IA, y rechaza la llamada antes de construir el cuerpo de la petición, no en la capa de interfaz.
- Está prevista una opción sin salida de datos
- Para las organizaciones que no pueden enviar ningún dato a un modelo de terceros, tenemos previsto ofrecer inferencia autoalojada sin proveedor público de respaldo: la petición llegaría al punto de acceso privado o fallaría. Todavía no está disponible para los clientes.
- El aislamiento entre clientes también se aplica a la IA
- Cada consulta de IA y de recuperación se limita a una sola organización. Dos organizaciones nunca comparten resultados de recuperación, ni comparten con un proveedor de modelos un prefijo de petición en caché.
Lo que aún está en curso.
- Acuerdos de tratamiento de datos firmados por cada proveedor de modelosAún no en vigor
- Condiciones de retención cero de datos con los proveedores de modelosAún no en vigor
Preferimos decírtelo a que lo des por supuesto. Hay dos compromisos que aún no están en vigor: los acuerdos de tratamiento de datos firmados por ambas partes con cada proveedor de modelos a nombre de nuestra sociedad, y unas condiciones de retención cero de datos que eliminen el breve periodo de supervisión de abusos durante el que un proveedor puede conservar una petición.
Hasta que ambos estén en vigor, los proveedores se usan con sus condiciones estándar publicadas, nuestro DPA para clientes se ofrece como borrador y no como un acuerdo aprobado por asesoría jurídica, y no hacemos ninguna promesa contractual de retención más allá de lo que nos dan esas condiciones publicadas. Las organizaciones que necesiten una garantía antes pueden usar el interruptor de IA del cliente descrito arriba.
Entrenamiento de modelos. Usamos Anthropic y OpenAI a través de sus API comerciales que, según las condiciones publicadas por esos proveedores, no se usan para entrenar sus modelos. El entrenamiento con conversaciones de chat de consumo, que es en lo que suele pensar la gente, no se aplica al tráfico de API.
Los controles técnicos anteriores salen de una auditoría interna sobre la confianza en nuestra IA, que incluye las carencias que encontramos y lo que hicimos con cada una. Puedes pedirla en security@getcyril.com.
Un registro de cada ejecución de un agente.
Ask Cyril te enseña su plan y espera tu aprobación. Cada paso se comprueba en el servidor con tus permisos antes de ejecutarse, y cada ejecución queda registrada: el plan, quién lo aprobó y qué hizo cada paso. Todavía no hay un botón para deshacer de un clic la ejecución de un agente.
| Hora | Paso | Aprobado por | Comprobado con | Resultado |
|---|---|---|---|---|
| Recordatorio enviado: factura de Cernícalo vencida desde el juevesFinanzas, 4 destinatarios | CFClara Ferrer | Permisos de Clara Ferrer | Enviado | |
| Tarea de seguimiento creada, vence el jue, 3 sept, 10:00Proyectos, lanzamiento vie, 4 sept | CFClara Ferrer | Rol de Propietario de Clara Ferrer | Hecho | |
| Factura ROWA-1001 creada como borradorFinanzas, 59.085,00 | MVMarcos Vidal | Rol de Finanzas | Hecho | |
| Ticket #13 resueltoSoporte, Cernícalo Logística | CFClara Ferrer | Rol de Propietario | Hecho | |
| Tarea asignada: dosier del tallerProyectos, Cernícalo Proyecto de asesoría | ÓNÓscar Navarro | Rol de Proyectos de Óscar Navarro | Hecho | |
| Etapa del cliente potencial actualizadaVentas, Clínicas Dentales Hontanar | NSNuria Soler | Rol de Ventas | Hecho |
- Paso
- Tarea de seguimiento creada
- Autor
- Ask Cyril
- Aprobado por
- CFClara Ferrer
- Comprobado con
- Rol de Propietario, permisos de Clara
- Registro
- Cernícalo Logística
- Comprobado
- En el servidor
Recuperación y exportación, según las políticas publicadas
Los registros eliminados permanecen en la papelera hasta que alguien los restaura o los elimina definitivamente.
Exportar tus datos es gratis en cualquier momento, tanto si te das de baja como si no.
Tras la resolución del contrato, tu contenido sigue disponible para exportarlo antes de que se programe su eliminación.
Las copias de seguridad se conservan 365 días y después caducan automáticamente.
Prácticas de seguridad.
Lo que está implantado hoy. Todo lo que sigue en curso se explica en el texto de esta página, para que esta lista nunca exagere lo que de verdad se aplica.
Cifrado en tránsito
Todo el tráfico hacia Cyril se cifra con TLS 1.2 o superior. HTTPS es obligatorio en todos los puntos de acceso y las peticiones HTTP se redirigen.
Cifrado en reposo
Los secretos de integración de cada organización, los tokens OAuth y las semillas TOTP se cifran en la capa de aplicación con una clave maestra guardada fuera de la base de datos. Las copias de seguridad se cifran con age antes de subirse al almacenamiento de objetos. La base de datos principal se apoya en el cifrado de volumen del proveedor de alojamiento, AES-256 gestionado por el proveedor.
Control de accesos
Control de acceso basado en roles, con mínimo privilegio por defecto. La autenticación multifactor es obligatoria para los administradores de la plataforma, y los administradores del cliente pueden exigirla en toda la organización.
Gestión de vulnerabilidades
Dependabot abre cada semana actualizaciones de dependencias; pnpm audit y el análisis estático de Semgrep informan de los hallazgos, pero no bloquean nada. Un análisis de contenedores con Trivy bloquea los despliegues en producción si hay vulnerabilidades altas o críticas con corrección disponible. La divulgación coordinada se gestiona a través de nuestro programa de bug bounty.
Respuesta a incidentes
Un procedimiento documentado de respuesta a incidentes, con niveles de gravedad y SLA definidos. Las violaciones de seguridad de datos personales se notifican a los clientes afectados en un plazo de 72 horas desde su confirmación, conforme al artículo 33 del RGPD. Para los clientes australianos, ese mismo aviso sirve al régimen de Notifiable Data Breaches: una posible violación notificable se evalúa en un plazo de 30 días, y se notifica a la OAIC y a las personas afectadas lo antes posible cuando es probable un daño grave.
Aislamiento entre organizaciones
Una base de datos compartida con aislamiento por filas mediante org_id, aplicado en la capa de servicio. Nuestra definición de terminado exige pruebas de aislamiento entre clientes para cada tipo de entidad. No se comparten datos entre clientes.
Certificaciones y compromisos.
Cyril es un software en prelanzamiento. Cuando un compromiso todavía no existe, esta sección lo dice en lugar de dejar que lo des por hecho.
SOC 2 Tipo 1
SOC 2 Tipo 1 es requisito para la disponibilidad general de Cyril. El Tipo 2 llega seis meses después de la certificación del Tipo 1. Hoy no tenemos ninguna certificación ni hay informes de auditoría disponibles.
RGPD
Pensado para el RGPD: las solicitudes de acceso, exportación, rectificación y supresión se gestionan en el producto. Nuestro acuerdo de tratamiento de datos estará listo antes de que firmen los clientes.
Acuerdo de tratamiento de datos
Nuestro DPA (acuerdo de tratamiento de datos) ya se puede leer, pero aún no ha pasado la revisión de la asesoría jurídica y se publica como borrador para su evaluación, no como acuerdo definitivo. Si necesitas un DPA firmado, escríbenos y te confirmaremos los plazos.
Disponibilidad y estado del servicio
Cyril es un software en prelanzamiento y en desarrollo activo, y nuestros Términos del servicio dicen con claridad que no hay compromiso de disponibilidad ni acuerdo de nivel de servicio. No publicamos porcentajes de disponibilidad ni hay créditos de servicio. El servicio puede interrumpirse por mantenimiento, algunas funciones pueden dejar de estar disponibles brevemente durante un despliegue y aparecerán errores en producción, porque el producto es joven.
Los niveles de servicio y los tiempos de respuesta de soporte solo existen cuando un pedido Enterprise los acuerda, y por defecto no se aplica ninguno. Hay una página pública de estado activa en status.getcyril.com, con el estado de cada componente y un historial de incidencias.
Los datos de los clientes residen en la Unión Europea.
La base de datos y la API funcionan en Hostinger, en centros de datos de Lituania y los Países Bajos. Esa es la ubicación principal, publicada en la lista de subencargados, no una región que el cliente pueda elegir.
Si necesitas que los datos se queden en Australia (trabajos para la Administración, IRAP o un consejo que no acepte una comunicación al extranjero), Cyril todavía no puede cumplir ese requisito. Preferimos decirlo aquí a que salga a relucir en plena negociación.
APP 8. Si eres una entidad sujeta a los APP según la Privacy Act australiana, introducir información personal en Cyril es una comunicación al extranjero, y sigues siendo responsable de ella. A mayo de 2026 no hay ningún país designado como de protección sustancialmente similar, así que el APP 8 se aplica en su totalidad. No afirmamos que la legislación de la UE, de Lituania o de los Países Bajos sea un equivalente designado.
Lo que ofrecemos a cambio es un tratamiento contractual equivalente al de los APP en el borrador del DPA: tratamiento solo según tus instrucciones, medidas de seguridad, ayuda con el acceso y la rectificación, aviso de Notifiable Data Breach ajustado a la evaluación de 30 días, eliminación o devolución al terminar el contrato y responsabilidad sobre los subencargados. El DPA sigue siendo un borrador pendiente de revisión jurídica.
Esta sección no es asesoramiento jurídico, no es IRAP y no promete una región en Australia. El DPA recoge los hechos y el tratamiento; no te resuelve el APP 8.
Subencargados del tratamiento.
Algunos terceros forman parte del funcionamiento de Cyril y todas las organizaciones los usan. Otros son integraciones, que solo intervienen cuando alguien de tu organización activa una desde Configuración → Integraciones.
| Proveedor | Qué hace | Región |
|---|---|---|
| Hostinger (Chipre) | Alojamiento de la API y la base de datos, ubicación principal de los datos de los clientes | UE |
| Cloudflare (EE. UU.) | DNS, CDN y cortafuegos; almacenamiento de archivos subidos y copias de seguridad cifradas | Red perimetral global |
| Twilio SendGrid (EE. UU.) | Correo del sistema, y facturas y documentos que envías a tus clientes | EE. UU. / UE |
| Sentry (EE. UU.) | Monitorización de errores, configurada para eliminar datos personales | EE. UU. |
| Apollo.io (EE. UU.) | Búsqueda de clientes potenciales B2B y enriquecimiento de contactos | EE. UU. |
| Brandfetch (Países Bajos) | Búsqueda de logotipo y colores de marca para cuentas nuevas | UE |
| Google Maps Platform (EE. UU.) | Autocompletado de direcciones y enriquecimiento de empresas | Global |
| Anthropic (EE. UU.) | Proveedor principal de modelos para las funciones de IA | EE. UU. |
| OpenAI (EE. UU.) | Proveedor secundario de modelos y de embeddings | EE. UU. |
| Stripe (EE. UU.) | Facturación de suscripciones, y Connect cuando cobras con tarjeta | EE. UU. / UE / AU |
| ElevenLabs (EE. UU.) | Voz del asistente y del lector de páginas, con la cuenta propia de Cyril | EE. UU. |
| Google Analytics (EE. UU.) | Analítica del sitio web tras tu consentimiento; en la aplicación, una propiedad que solo registra nombres de módulo | EE. UU. / UE |
| Ahrefs (Singapur) | Analítica sin cookies en este sitio web | No publicada |
Opcionales, desactivados hasta que se conectan
Si nadie de tu organización activa uno de estos, ningún dato llega a ese proveedor y no es subencargado tuyo.
- Gravatar
- Twilio SMS
- Pipedrive
- HubSpot
- Adobe Experience Manager
- Gmail y Google Calendar
- Microsoft 365 y OneDrive
- Google Drive
- Slack
- DocuSign
- Microsoft Entra ID
- ElevenLabs Voice Studio
- Klaviyo
- Salesforce
- Revolut Merchant
Aviso de cambios. Cualquier cambio aparece primero en la lista de subencargados, con su fecha. El apartado 3.2 del Acuerdo de tratamiento de datos se compromete a avisar por escrito con 60 días de antelación antes de cambiar cualquier proveedor siempre activo, con derecho a oponerse durante ese plazo. El DPA sigue siendo un borrador, así que ese compromiso es todo lo firme que puede ser un borrador. Si quieres que te avisemos cuando cambie la lista, escribe a legal@getcyril.com.
Bug bounty.
Tenemos un programa de divulgación coordinada de vulnerabilidades y agradecemos los informes de investigadores de seguridad que actúen de buena fe. Nunca emprenderemos acciones legales contra quien siga esta política.
Notificar un problema de seguridadsecurity@getcyril.comConfirmamos la recepción en un plazo de 2 días hábiles. Si para entonces no tienes respuesta, vuelve a enviarlo: puede que tu mensaje se haya filtrado.Política completaQué incluir
- Una descripción clara de la vulnerabilidad y de su posible impacto
- Instrucciones paso a paso para reproducirla, idealmente con una prueba de concepto mínima
- Las URL o puntos de acceso afectados y el contexto de cuenta necesario
- Tu estimación CVSS y el nivel de gravedad (lo ajustaremos si hace falta)
- Si quieres un reconocimiento público, y con qué nombre
Gravedad y tiempos de respuesta
| Gravedad | CVSS v3.1 | Ejemplos | Primera respuesta |
|---|---|---|---|
| Crítica | 9.0 a 10.0 | Ejecución remota de código; acceso total a la base de datos; exposición de datos entre clientes; elusión del flujo de pago | 24 horas |
| Alta | 7.0 a 8.9 | Escalada de privilegios autenticada; SSRF que alcanza servicios internos; elusión de la autenticación en un punto de acceso | 48 horas |
| Media | 4.0 a 6.9 | XSS almacenado en una zona autenticada; CSRF en un punto de acceso que cambia el estado; IDOR de alcance limitado | 5 días hábiles |
| Baja | 0.1 a 3.9 | XSS reflejado que requiere interacción de la víctima; límites de frecuencia ausentes sin vía de abuso; fugas informativas | 10 días hábiles |
Son plazos hasta la primera clasificación, no hasta la corrección, y son objetivos. El compromiso que sí asumimos es confirmar la recepción en 2 días hábiles, sea cual sea la gravedad. Cyril es un equipo pequeño sin guardias 24 horas, y preferimos decírtelo a publicar una cifra que no siempre podamos cumplir.
Alcance
Dentro del alcance
- Frontend de la aplicación para el equipo interno
- API REST pública y puntos de acceso de auditoría MCP
- Frontend de administración de la plataforma
- Frontend del portal de clientes
- Este sitio web, incluidos sus puntos de acceso de captación de contactos y de informes
- Subdominios de organización, cuando estén disponibles, salvo cualquier host con el sufijo -staging
Fuera del alcance
- Hallazgos en entornos de staging o de desarrollo
- Servicios de terceros de los que dependemos; notifícalo directamente a ese proveedor
- Ingeniería social contra el equipo, los clientes o los proveedores
- Ataques físicos contra instalaciones, equipos o personal
- Ataques de denegación de servicio o volumétricos
- Spam, phishing o cualquier cosa que contacte con terceros sin su consentimiento
- Hallazgos que solo se reproducen con credenciales obtenidas por fuerza bruta o tokens robados
- Problemas que afectan a navegadores desactualizados (damos soporte a las dos últimas versiones principales de Chrome, Firefox, Safari y Edge)
- Self-XSS, cabeceras ausentes sin impacto demostrado y límites de frecuencia ausentes sin vía de abuso
- Resultados de escáneres automáticos sin una prueba de concepto que funcione
Puerto seguro
Siempre que actúes de buena fe y sigas esta política, Cyril considera tu investigación una conducta autorizada. No emprenderemos acciones legales contra ti, tampoco al amparo de la Computer Misuse Act 1990 (Reino Unido), la Computer Fraud and Abuse Act (EE. UU.) o legislación análoga de otros países, y colaboraremos con nuestros subencargados y con las fuerzas de seguridad cuando sea necesario para respaldar esa protección. A cambio, te comprometes a:
- Dejar de hacer pruebas en cuanto confirmes la vulnerabilidad, sin extraer más datos que el mínimo necesario para demostrar el impacto.
- No acceder a datos de otros usuarios u organizaciones, ni modificarlos ni destruirlos.
- No interrumpir el servicio a otros usuarios.
- No divulgar públicamente la vulnerabilidad antes de que hayamos tenido una oportunidad razonable de corregirla (normalmente 90 días, con prórrogas acordadas por escrito para correcciones complejas).
- Cumplir toda la legislación aplicable.
Reconocimiento
Por ahora el programa ofrece solo reconocimiento. Con tu consentimiento, te mencionamos públicamente en esta página cuando se haya publicado la corrección y haya pasado un plazo razonable de divulgación. Estamos estudiando recompensas económicas a medida que madure la plataforma; cuando lleguen, la tabla de recompensas aparecerá aquí, y quienes hayan enviado un informe que cumpla los requisitos antes del cambio recibirán la compensación de forma retroactiva.
Los documentos en los que se basa esta página.
- Política de privacidadActualizado el 4 de octubre de 2026Qué recogemos en getcyril.com, qué trata la plataforma para las organizaciones, con quién lo compartimos y durante cuánto tiempo lo conservamos.
- Términos del servicioActualizado el 17 de agosto de 2026A qué nos comprometemos, qué te pedimos, qué está aún por cerrar y cómo puede cualquiera de las partes poner fin a la relación.
- Política de cookiesActualizado el 4 de octubre de 2026Qué cookies y tecnologías similares usa este sitio, y cómo controlar o rechazar el resto.
- Todos los documentos legalesBorradores, pendientes de revisión jurídicaTodas las políticas en un solo lugar, incluidos el acuerdo de tratamiento de datos y la lista de subencargados.
- Problemas de seguridad
- security@getcyril.com
- DPA y avisos sobre subencargados
- legal@getcyril.com
- Cualquier otra cosa
- Contacta con nosotros