Cumplimiento y Seguridad
Cómo protegemos los datos de tu firma.
Marco normativo aplicable
Ley 172-13 RD
Tratamos tus datos conforme a la Ley sobre Protección de Datos Personales de República Dominicana.
Derechos tipo GDPR
Ya puedes exportar tus datos y pedir que se borren tu cuenta y tu información.
Secreto Profesional
Reconocemos el privilegio cliente-abogado en toda la arquitectura.
Infraestructura de proveedores certificados
Trabajamos con proveedores que tienen certificaciones internacionales:
| Google Cloud (Vertex AI y API de Gemini) | SOC 2 Type II, ISO 27001, ISO 27017, ISO 27018 |
| Supabase (PostgreSQL y archivos) | SOC 2 Type II, GDPR |
| Stripe (pagos) | PCI DSS Level 1, SOC 1, SOC 2 |
| Vercel (hosting) | SOC 2 Type II, GDPR, ISO 27001 |
| Resend (email) | SOC 2 Type II, GDPR |
Cifrado
En tránsito
HTTPS (TLS) en todas las conexiones, con HSTS y preload.
En reposo
Base de datos y archivos cifrados con AES-256 por nuestro proveedor de base de datos.
Aislamiento de datos por organización
Cada firma solo ve sus propios datos. Nuestro servidor filtra cada consulta por la organización de quien la hace, y además la base de datos tiene Row Level Security (RLS) activo en todas las tablas: cualquier intento de leerla directamente, sin pasar por nuestro servidor, se rechaza.
- RLS activo en todas las tablas de la base de datos.
- Las rutas del servidor filtran cada consulta por tu organización.
- Las acciones del equipo interno, incluido el acceso a una cuenta para dar soporte, quedan registradas en una bitácora de auditoría.
- NO compartimos datos entre organizaciones, ni siquiera para análisis agregado.
Inteligencia Artificial — tus datos no entrenan modelos
No usamos tus consultas ni tus documentos para entrenar modelos, ni nuestros ni de terceros. Las consultas se procesan con los servicios de IA de Google Cloud (Vertex AI y la API de Gemini) en modalidad de pago, cuyos términos no permiten que Google use esos datos para entrenar sus modelos.
- Tus expedientes no alimentan ningún modelo público.
- Google puede conservar las solicitudes por un tiempo limitado solo para detectar abusos, según sus términos.
- Tú decides qué documentos cargas — nada se ingiere automáticamente.
Autenticación
- Segundo factor (código TOTP o passkey) obligatorio para administradores y disponible para todos los usuarios.
- El panel interno vuelve a pedir el segundo factor cada 30 minutos.
- Máximo 5 intentos fallidos de inicio de sesión cada 15 minutos.
- La sesión vive en una cookie httpOnly y secure, con protección SameSite.
- Bitácora de inicios de sesión, intentos fallidos, cambios y recuperaciones de contraseña y del segundo factor.
Disponibilidad y backups
- Objetivo de disponibilidad: 99.5% mensual.
- Backups automáticos diarios de la base de datos (retención 7 días).
- Si un servicio de IA falla, la consulta pasa automáticamente al otro (Vertex AI o la API de Gemini).
- Página de estado pública: drvictorlegal.com/estado
Tu derecho a tus datos
Tienes control completo sobre tu información:
- Exporta tus datos en formato JSON estándar desde tu cuenta.
- Pide el borrado de tu cuenta: se elimina a los 30 días, y puedes cancelarlo antes.
- Revisa la bitácora de actividad de tu organización en Configuración.
- Define permisos por miembro de tu firma.
Reportar una vulnerabilidad
Si descubriste un problema de seguridad en Dr. Víctor, escríbenos a security@drvictorlegal.com. Practicamos responsible disclosure:
- Confirmamos recibo en menos de 24 horas hábiles.
- Te mantenemos informado del progreso del fix.
- Reconocemos públicamente a investigadores de seguridad (con tu permiso).
- Para vulnerabilidades críticas validadas: bug bounty discrecional.
Documentación adicional
Para firmas y oficiales de cumplimiento:
- DPA (Data Processing Agreement) — disponible bajo NDA.
- Reportes de penetration testing — disponible bajo NDA.
Solicítalos a enterprise@drvictorlegal.com.