Esta página resume dónde corre cada producto, qué datos guarda y qué controles lo protegen. Las políticas completas, las fichas por producto y las respuestas a cuestionarios se comparten bajo solicitud.
Última revisión 2026-09-26
En AI Compass, AI Agent Factory y AI Academy, las políticas de seguridad por fila de la base de datos separan a cada organización, y cada función del servidor valida la sesión y la membresía antes de trabajar. ARIA Graph se instala por cliente.
Todo el tráfico viaja por HTTPS. Las bases de datos y el almacenamiento se cifran en reposo con AES-256. Las llaves de API y credenciales que conectan los clientes se cifran además con AES-256-GCM antes de guardarse.
Solo personal designado de Criterium AI administra la infraestructura, con cuentas personales y nominales. Los usuarios de cada cliente trabajan con roles por organización, y las funciones administrativas se verifican en el servidor.
Las herramientas de los agentes declaran permisos y pueden exigir aprobación humana antes de escribir en un sistema. Los hallazgos de ARIA Graph requieren que una persona los acepte.
Criterium AI no usa datos de clientes para entrenar modelos. Usamos proveedores de IA a través de su API comercial, y en AI Compass y ARIA Graph el cliente puede conectar sus propias cuentas.
Las acciones sensibles quedan en bitácoras de auditoría, el uso y el costo de la IA se registran por organización, y en ARIA Graph la bitácora está encadenada con hashes para detectar alteraciones.
Criterium AI aún no cuenta con un reporte SOC 2 ni con la certificación ISO/IEC 27001, y no ha contratado una prueba de penetración externa. Nuestros controles están alineados con los Trust Services Criteria de SOC 2 y con el Anexo A de ISO/IEC 27001:2022. El mapeo de cada control a los productos forma parte de la documentación bajo solicitud.
| Proveedor | Servicio | Ubicación | Productos |
|---|---|---|---|
| Cloudflare, Inc. | Alojamiento, CDN, DNS y seguridad de red; video y archivos de AI Academy | Red global | Todos |
| Supabase, Inc. (Amazon Web Services) | Base de datos, autenticación, archivos y funciones del servidor | EE. UU.: Oregón (AI Compass, AI Agent Factory) y Virginia (AI Academy, ARIA MCP) | AI Compass, AI Agent Factory, AI Academy, ARIA MCP |
| Anthropic, PBC | Modelos de IA (Claude) por API comercial | Estados Unidos | AI Compass, AI Agent Factory, AI Academy, ARIA MCP |
| Resend, Inc. | Correo transaccional | Estados Unidos | AI Compass, AI Agent Factory, AI Academy |
| Stripe, Inc. | Pagos | Estados Unidos | AI Academy |
| Voyage AI | Representaciones vectoriales para la búsqueda del tutor | Estados Unidos | AI Academy |
| Functional Software, Inc. (Sentry) | Monitoreo de errores | Estados Unidos | AI Academy |
| Twilio Inc. | Avisos por WhatsApp, si el participante los activa | Estados Unidos | AI Academy |
| Upstash, Inc. | Contadores de límite de solicitudes | Estados Unidos | AI Academy |
| Google Cloud | Alojamiento de instalaciones dedicadas que opera Criterium AI | Región acordada con el cliente (por omisión, Estados Unidos) | ARIA Graph |
Cuando un cliente conecta sus propias cuentas de IA (OpenAI, Google, Microsoft Azure o Anthropic) en AI Compass o ARIA Graph, ese proveedor trata los datos bajo el contrato del cliente y no es subencargado de Criterium AI. Avisamos a los clientes con contrato vigente antes de incorporar un subencargado nuevo.
La documentación completa se comparte con clientes y con empresas que evalúan a Criterium AI como proveedor. Cada documento indica a qué productos aplica, su versión y su fecha de revisión.
El marco general: responsables, gestión de riesgos, personal, activos, revisión de políticas y excepciones.
Cómo se otorgan, revisan y retiran los accesos del personal y de los usuarios de cada producto.
Cifrado en tránsito y en reposo, cifrado de credenciales de clientes y rotación de llaves y secretos.
Niveles de clasificación, plazos de conservación por producto y cómo se atienden las solicitudes de eliminación y derechos ARCO.
Respaldos por producto, procedimiento de restauración, dependencias críticas y cómo se opera si falla un proveedor.
Severidades, roles, pasos de contención y recuperación, y plazos de aviso a clientes y titulares de datos.
Cómo se diseña, revisa, prueba y despliega cada cambio, y cómo se atienden las dependencias y vulnerabilidades.
Cómo se evalúan, contratan, revisan y dan de baja los proveedores que tratan datos de clientes.
Selección de modelos, uso de datos, evaluación, supervisión humana, control de costos y transparencia en los productos.
Arquitectura, flujo de datos, aislamiento por organización, autenticación, IA y registros de AI Compass.
Permisos de herramientas, aprobación humana, evaluación antes de promover, ejecución y credenciales de los agentes.
Arquitectura, datos de participantes, pagos, video, IA del tutor, retención y derechos de los usuarios.
Autenticación de aplicaciones, memoria por persona, control de herramientas, auditoría y límites de gasto.
Instalación dedicada, inicio de sesión único, permisos por paquete, bitácora encadenada, protección de salida y eliminación.
La plantilla de encargo de tratamiento que firmamos con clientes, con anexos de medidas técnicas y subencargados.
Cada criterio de SOC 2 y control del Anexo A relevante, con el control de Criterium AI que lo atiende y su estado por producto.
Respuestas a las preguntas más frecuentes de evaluación de proveedores, listas para copiar en su formato.
Revisamos cada solicitud y respondemos en dos días hábiles. Si se aprueba, recibe un enlace personal válido por 30 días.
Escriba a hola@criterium-ai.com con el asunto Seguridad, con los pasos para reproducir el problema y el producto afectado. Confirmamos la recepción en dos días hábiles y le informamos cuando esté corregido. No emprendemos acciones contra quien investigue de buena fe sin acceder a datos de terceros, sin degradar el servicio y sin divulgar el problema antes de su corrección. Por ahora no tenemos un programa de recompensas.
hola@criterium-ai.com