Fundamentos
Ocho controles que sostienen la plataforma
No prometemos certificaciones que no tenemos. Describimos exactamente cómo está construida la plataforma y hacia qué estándares está diseñada.
Cifrado en tránsito y en reposo
Toda conexión viaja sobre TLS 1.2 o superior. Los datos en las bases y los archivos almacenados se cifran en reposo con AES-256. Las llaves se gestionan por separado de los datos que protegen.
Diseñado paraAislamiento por inquilino
Cada empresa es un inquilino lógicamente separado. Toda consulta lleva el identificador de la organización; ningún dato de una empresa es visible para otra, ni siquiera por error de un desarrollador.
Multi-tenantControl de acceso por rol
Propietario, desarrollador, PM, contratista, proveedor, inspector: cada rol ve solo lo que le corresponde. Los permisos se evalúan en el servidor en cada petición, no solo en la interfaz.
RBACBitácora inmutable
Quién hizo qué y cuándo queda registrado de forma permanente: aprobaciones, cambios de orden, liberaciones de pago, ediciones de documentos. Los registros no se pueden alterar ni borrar desde la aplicación.
Audit trailDoble autorización para pagos
Ninguna liberación de escrow depende de una sola persona. Los desembolsos requieren doble autorización y solo proceden cuando se cumplen las tres condiciones verificables del motor de confianza.
EscrowLey 8968 y PRODHAB
La plataforma está diseñada en torno a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales de Costa Rica y a los derechos que reconoce ante la PRODHAB.
Protección de datosCFIA, CCSS y Hacienda
Los flujos incorporan los requisitos regulatorios reales de la construcción: registro ante el colegio de ingenieros de tu país (CFIA en Costa Rica), seguridad social y riesgos laborales (CCSS/INS en Costa Rica), y facturación electrónica ante la autoridad tributaria (Hacienda en Costa Rica).
Cumplimiento CRIA responsable y honesta
EXA AI redacta contratos, prioriza tickets y sugiere materiales, pero nunca inventa datos. Cita sus fuentes, marca lo que es un borrador y siempre deja la decisión final en manos de una persona.
IA responsableProtección de datos, en concreto
El cifrado no es una casilla que marcar. Estos son los controles específicos que aplicamos sobre cada dato que entra a la plataforma.
Cifrado y almacenamiento
- TLS 1.2 o superior en todo el tráfico entre tu navegador y la plataforma.
- Cifrado AES-256 de los datos en reposo en bases de datos y almacenamiento de archivos.
- Gestión de llaves separada de los datos, con rotación periódica.
- Hoy dependemos de la protección estándar del proveedor de hosting, mientras trabajamos hacia un programa dedicado de respaldos cifrados con restauración probada.
- Aislamiento del almacenamiento por proyecto y por empresa.
Acceso e integridad
- Cada petición valida el inquilino y el rol antes de tocar un solo registro.
- Contraseñas resguardadas con hashing fuerte; nunca en texto plano.
- Sesiones con expiración y cierre remoto de sesiones activas.
- Bitácora inmutable de acciones sensibles, sellada con fecha y autor.
- Principio de mínimo privilegio: nadie ve más de lo necesario para su rol.
Tus derechos sobre tus datos
La Ley 8968 reconoce derechos concretos sobre los datos personales en Costa Rica. La plataforma está diseñada para poder ejercerlos.
Acceso
Saber qué datos personales tratamos y solicitar una copia.
Rectificación
Corregir información inexacta o desactualizada sobre ti.
Eliminación
Solicitar la supresión de tus datos cuando proceda legalmente.
Oposición
Oponerte a determinados tratamientos de tus datos personales.
Portabilidad
Recibir tus datos en un formato estructurado y exportable.
Información
Conocer la finalidad y el destino de cada dato que recolectamos.
Para ejercer cualquiera de estos derechos, escríbenos a hola@buildexa.com. La PRODHAB es el órgano de control en Costa Rica ante el cual también puedes recurrir.
IA responsable
Una IA que ayuda, no que inventa
EXA AI acelera el trabajo, pero nunca sustituye el criterio humano ni fabrica datos. Estos son los límites que le imponemos.
- Nunca inventa cifras, cláusulas ni hechos: si no hay dato de origen, lo dice.
- Todo lo que genera es un borrador marcado, sujeto a revisión y aprobación humana.
- Cita la fuente de sus recomendaciones cuando propone materiales o proveedores.
- No toma decisiones de pago, aprobación ni contratación de forma autónoma.
- Tus datos de proyecto no se usan para entrenar modelos de terceros.
Cumplimiento regulatorio, no solo palabras
En construcción costarricense hay cuatro familias de requisitos distintas. La plataforma las trata como lo que son.
CFIA
Registro de responsabilidad profesional y del proyecto ante el colegio de ingenieros de tu país (CFIA en Costa Rica), integrado en el flujo de obra.
CCSS
Planillas y aportes a la seguridad social y riesgos laborales (CCSS/INS en Costa Rica) como parte de la gestión de personal y subcontratos.
Hacienda
Facturación electrónica conforme a la autoridad tributaria de tu país (Hacienda en Costa Rica), generada desde los propios movimientos del proyecto.
Ley 8968 / PRODHAB
Tratamiento de datos personales diseñado en torno a la ley costarricense y a los derechos que supervisa la PRODHAB.
Preguntas sobre seguridad
¿BuildEXA tiene certificación SOC 2 o ISO 27001?
Somos honestos: no reclamamos certificaciones que aún no tenemos. La plataforma está construida en torno a los controles que esos marcos exigen —cifrado, control de acceso, bitácora, aislamiento por inquilino— y trabajamos hacia auditorías formales. Preferimos decirte cómo está construida a colgarnos un sello que no nos corresponde.
¿Puede una empresa ver los datos de otra?
No. Cada empresa es un inquilino lógicamente aislado y toda consulta se filtra por el identificador de la organización en el servidor. El aislamiento no depende de la interfaz: se aplica en la capa de datos.
¿Qué pasa si alguien intenta liberar un pago sin permiso?
No puede. Una liberación de escrow requiere que se cumplan las tres condiciones verificables y, además, doble autorización de dos personas con permiso. No existe un botón que una sola persona pueda pulsar para mover el dinero.
¿Se puede borrar o alterar la bitácora?
No desde la aplicación. Las acciones sensibles quedan registradas de forma inmutable con autor y fecha, precisamente para que sirvan como evidencia ante disputas, inspecciones o auditorías.
¿Usan mis datos para entrenar la IA?
No usamos tus datos de proyecto para entrenar modelos de terceros. EXA AI trabaja sobre tu información para asistirte dentro de tu propia cuenta, y siempre marca lo que genera como borrador sujeto a tu aprobación.