Seguridad
Controles verificables para proteger el acceso, las sesiones y las integraciones alrededor de cada asunto.
Tus datos
Siguen siendo tuyos
Entrenamiento
No entrenamos con tu contenido
Acceso
Validado en el servidor
Integraciones
Tokens cifrados
Implementado hoy · revisado el 27 de octubre de 2026
Esta página describe capacidades que se pueden rastrear en la arquitectura actual. El alcance se expresa con precisión para no confundir una función técnica con una certificación externa.
01 / IDENTIDAD Y ACCESO
Se entra con una cuenta de Google o de Microsoft. Las páginas privadas vuelven a comprobar la sesión contra la base de datos y las credenciales locales permanecen deshabilitadas.
Google y Microsoft (OpenID Connect) · sesión server-side
02 / EQUIPOS Y PERMISOS
OWNER, ADMIN y MEMBER delimitan invitaciones, cambios de rol, facturación y eliminación de la organización.
OWNER · ADMIN · MEMBER
03 / ARCHIVOS E INTEGRACIONES
Los adjuntos protegidos validan el registro antes de firmar la descarga. Los tokens de Google Drive, Gmail y Microsoft se guardan cifrados con una llave propia, Microsoft se conecta con permisos de solo lectura, y los tokens del inicio de sesión no se guardan.
URL temporal · AES-256-GCM
04 / NORMINA MCP
Normina MCP usa PKCE y consentimiento, con audiencia restringida, tokens de corta duración y datos mínimos.
PKCE · RS256 · 15 min · alcance limitado
Gobierno de datos e IA
La confidencialidad del trabajo legal exige reglas claras sobre propiedad, finalidad y uso de la información. Estas son las que Normina publica hoy.
Titularidad
Los Términos de Normina reconocen que el cliente conserva la titularidad de la información, expedientes y documentos que carga.
Entrenamiento
Normina establece que los documentos, consultas y resultados del cliente no se usan para entrenar o afinar modelos propios ni de terceros.
Finalidad
El contenido se utiliza para ejecutar la solicitud y las funciones contratadas, dentro de los flujos necesarios para operar la plataforma.
Comercialización
La Política de Privacidad declara que Normina no vende, alquila ni comercializa la información de sus usuarios.
Validación independiente
Normina no presenta actualmente estas referencias como certificaciones obtenidas. Publicaremos alcance y vigencia solo después de una validación independiente.
Las certificaciones de un proveedor de nube describen a ese proveedor; no certifican automáticamente a Normina. Los siguientes identificadores son referencias, no sellos oficiales.
Marco de referencia
Controles operativos y evidencia sostenida en el tiempo.
No acreditado actualmente
Marco de referencia
Sistema formal de gestión de seguridad de la información.
No acreditado actualmente
Marco de referencia
Gobierno y gestión responsable de sistemas de IA.
No acreditado actualmente
Documentación pública
Preguntas frecuentes
Al cliente. Los Términos de Normina establecen que el cliente conserva la titularidad de la información, expedientes y documentos que carga en la plataforma.
No. La Política de Privacidad de Normina establece que el contenido del cliente no se utiliza para entrenar, afinar ni mejorar modelos propios o de terceros. Los proveedores de los modelos (Google y Anthropic) lo procesan sólo para responder la solicitud y, conforme a sus condiciones para empresas, tampoco lo usan para entrenar.
Sí. Las organizaciones distinguen OWNER, ADMIN y MEMBER para acciones administrativas como invitaciones, cambios de rol, facturación y eliminación de la organización. Normina no presenta todavía este control como un aislamiento multi-tenant auditado de forma independiente.
El flujo protegido de adjuntos de chat usa enlaces firmados temporales después de comprobar el acceso al registro. Los tokens de Google Drive, Gmail y Microsoft se cifran con AES-256-GCM y una llave propia antes de guardarse; los del inicio de sesión no se guardan; los flujos OAuth usan estados firmados y con vencimiento, y la conexión con Microsoft además usa PKCE y sólo permisos de lectura. Al desconectar una integración se borran sus tokens.
Eliminar un documento, una carpeta, un asunto o una conversación borra el registro y sus archivos del almacenamiento activo de inmediato, y no es reversible desde la interfaz; si el almacenamiento no responde, el borrado se reintenta automáticamente dentro de la hora siguiente. Eliminar la cuenta corta el acceso al instante y abre un período de gracia de 30 días, recuperable iniciando sesión; vencido el plazo, un proceso automático destruye el contenido. Las copias de seguridad cifradas rotan por completo en un máximo de 35 días. Los registros de facturación se conservan según la obligación legal aplicable.
Principalmente en Estados Unidos: la aplicación, la base de datos y el asistente se alojan allí. Algunos proveedores, como Google, Cloudflare y Cohere, pueden procesar datos en otras regiones de su infraestructura. La lista completa de proveedores está en la Política de Privacidad. Normina no ofrece residencia regional dedicada como garantía general del producto.
Normina no presenta actualmente SOC 2, ISO 27001 ni ISO 42001 como certificaciones obtenidas. Cuando exista una validación independiente, publicaremos el estándar, su alcance y la vigencia correspondiente.
Sí. Nuestro equipo puede explicar la arquitectura, los flujos de datos y los controles disponibles para tu evaluación de proveedor. La documentación entregable se confirma de acuerdo con el estado real de cada revisión.
Revisión de seguridad
Conversemos sobre arquitectura, tratamiento de datos y los controles disponibles para tu organización.
