Fundamentos
Ocho controles que sostienen la plataforma
No prometemos certificaciones que no tenemos. Describimos exactamente cómo está construida la plataforma y hacia qué estándares está diseñada.
Cifrado en tránsito y de tokens
Toda conexión viaja sobre HTTPS y el sitio fuerza HSTS. Los tokens y credenciales de servicios externos (Google, Microsoft, QuickBooks, Xero) se cifran dentro de la aplicación con AES-256-GCM, con la llave guardada en la configuración del servidor, separada de la base de datos. El cifrado en reposo del resto de los datos y de los archivos lo aplica la infraestructura de nuestros proveedores.
Diseñado paraAislamiento por inquilino
Cada empresa es un inquilino separado a nivel de aplicación: las consultas de datos de empresa se filtran por el identificador de la organización y el servidor valida el acceso. Es aislamiento por software, no por bases de datos separadas, y seguimos ampliando las pruebas automatizadas que lo verifican.
Multi-tenantControl de acceso por rol
Propietario, desarrollador, PM, contratista, proveedor, inspector: cada rol ve solo lo que le corresponde. Los permisos se evalúan en el servidor en cada petición, no solo en la interfaz.
RBACBitácora de acciones sensibles
Quién hizo qué y cuándo queda registrado para acciones clave como aprobaciones de pago, cambios de administración y lecturas de datos sensibles. La aplicación no ofrece pantalla ni ruta para editar o borrar esos registros. La cobertura aún no incluye todas las acciones, y el bloqueo a nivel de base de datos existe solo en algunas tablas.
Audit trailDoble autorización para pagos (fase posterior)
Llegará en una fase posterior, junto con el escrow: ningún movimiento de fondos dependerá de una sola persona, y requerirá doble autorización cuando se cumplan las tres condiciones verificables del motor de confianza. Hoy BuildEXA no mueve dinero entre las partes.
Fase posteriorLey 8968 y PRODHAB
La plataforma está diseñada en torno a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales de Costa Rica y a los derechos que reconoce ante la PRODHAB.
Protección de datosCFIA, CCSS y Hacienda
Los flujos llevan el seguimiento de los requisitos regulatorios de la construcción: registro y documentos ante el colegio de ingenieros (CFIA en Costa Rica) y seguridad social y riesgos laborales (CCSS/INS en Costa Rica), con fechas de vencimiento. La facturación electrónica ante la autoridad tributaria (Hacienda en Costa Rica) está en desarrollo.
Cumplimiento CRIA responsable y honesta
EXA AI redacta contratos, prioriza tickets y sugiere materiales, pero nunca inventa datos. Cita sus fuentes, marca lo que es un borrador y siempre deja la decisión final en manos de una persona.
IA responsableProtección de datos, en concreto
El cifrado no es una casilla que marcar. Estos son los controles específicos que aplicamos sobre cada dato que entra a la plataforma.
Cifrado y almacenamiento
- HTTPS en todo el tráfico entre tu navegador y la plataforma, con HSTS activado.
- Tokens y credenciales de servicios externos cifrados con AES-256-GCM dentro de la aplicación; el cifrado en reposo de la base de datos y de los archivos lo aplican nuestros proveedores.
- La llave de ese cifrado vive en la configuración del servidor, separada de la base de datos.
- Hoy dependemos de la protección estándar del proveedor de hosting, mientras trabajamos hacia un programa dedicado de respaldos cifrados con restauración probada.
- Los archivos se guardan en el almacenamiento de objetos de nuestro proveedor de hosting.
Acceso e integridad
- Las peticiones autenticadas validan sesión, empresa y acceso al proyecto en el servidor.
- Contraseñas resguardadas con hashing fuerte; nunca en texto plano.
- Las sesiones expiran (30 días) y cambiar la contraseña invalida las sesiones abiertas; el cierre remoto de sesiones activas todavía no está disponible.
- Bitácora de acciones sensibles con fecha y autor, que la aplicación no permite editar ni borrar.
- Principio de mínimo privilegio: nadie ve más de lo necesario para su rol.
Tus derechos sobre tus datos
La Ley 8968 reconoce derechos concretos sobre los datos personales en Costa Rica. La plataforma está diseñada para poder ejercerlos.
Acceso
Saber qué datos personales tratamos y solicitar una copia.
Rectificación
Corregir información inexacta o desactualizada sobre ti.
Eliminación
Solicitar la supresión de tus datos cuando proceda legalmente.
Oposición
Oponerte a determinados tratamientos de tus datos personales.
Portabilidad
Recibir tus datos en un formato estructurado y exportable.
Información
Conocer la finalidad y el destino de cada dato que recolectamos.
Para ejercer cualquiera de estos derechos, escríbenos a hola@buildexa.cr. La PRODHAB es el órgano de control en Costa Rica ante el cual también puedes recurrir.
IA responsable
Una IA que ayuda, no que inventa
EXA AI acelera el trabajo, pero nunca sustituye el criterio humano ni fabrica datos. Estos son los límites que le imponemos.
- Nunca inventa cifras, cláusulas ni hechos: si no hay dato de origen, lo dice.
- Todo lo que genera es un borrador marcado, sujeto a revisión y aprobación humana.
- Cita la fuente de sus recomendaciones cuando propone materiales o proveedores.
- No toma decisiones de pago, aprobación ni contratación de forma autónoma.
- Tus datos de proyecto no se usan para entrenar modelos de terceros.
Cumplimiento regulatorio, no solo palabras
En construcción costarricense hay cuatro familias de requisitos distintas. La plataforma las trata como lo que son.
CFIA
Seguimiento de la matrícula profesional y de los documentos del proyecto ante el colegio de ingenieros (CFIA en Costa Rica): bitácora de obra foliada y firmada e inspecciones con formato CFIA. La verificación de la matrícula es manual; no hay conexión con el CFIA.
CCSS
Seguimiento de las constancias de la seguridad social (CCSS) y de las pólizas de riesgos laborales (INS) de contratistas y subcontratistas, con fecha de vencimiento y estado. No hay conexión con la CCSS ni cálculo de cargas sociales.
Hacienda
Facturación electrónica ante la autoridad tributaria (Hacienda en Costa Rica): en desarrollo. Hoy BuildEXA prepara los datos del comprobante desde los ingresos del proyecto; el XML, la firma digital y el envío aún no están construidos.
Ley 8968 / PRODHAB
Tratamiento de datos personales diseñado en torno a la ley costarricense y a los derechos que supervisa la PRODHAB.
Preguntas sobre seguridad
¿BuildEXA tiene certificación SOC 2 o ISO 27001?
Somos honestos: no reclamamos certificaciones que aún no tenemos, y hoy no contamos con una auditoría formal. Lo que sí hay es cifrado en tránsito, control de acceso por rol, una bitácora de acciones sensibles y aislamiento por empresa a nivel de aplicación. Preferimos decirte cómo está construida a colgarnos un sello que no nos corresponde.
¿Puede una empresa ver los datos de otra?
No debería, y el diseño está hecho para impedirlo: los datos de cada empresa se filtran por el identificador de la organización en el servidor, no en la interfaz. Es aislamiento a nivel de aplicación y, como en cualquier software, un error podría abrir una brecha; por eso hacemos revisiones de seguridad y pruebas automatizadas, y corregimos lo que encontramos.
¿Qué pasa si alguien intenta aprobar un pago sin permiso?
No puede. Las aprobaciones de las solicitudes de pago quedan registradas con autor y fecha, y dependen de las tres condiciones verificables. En esta fase BuildEXA no mueve dinero entre las partes; la doble autorización para mover dinero llegará con el escrow en una fase posterior.
¿Se puede borrar o alterar la bitácora?
No desde la aplicación: no existe pantalla ni ruta para editarla o borrarla. Con acceso directo a la base de datos sí sería posible, por eso no prometemos que sea imposible de alterar; el bloqueo a nivel de base de datos existe solo en algunas tablas y está en nuestro roadmap para el resto.
¿Usan mis datos para entrenar la IA?
No usamos tus datos de proyecto para entrenar modelos de terceros. EXA AI trabaja sobre tu información para asistirte dentro de tu propia cuenta, y siempre marca lo que genera como borrador sujeto a tu aprobación.