Tus datos no son nuestros datos.

Arquitectura de aislamiento

CaseCore es multi-tenant con aislamiento estricto a nivel de base de datos:

• Secreto profesional respetado: las comunicaciones y documentos entre tu despacho y tus clientes están protegidos por el secreto profesional (art. 36 CPF en México, equivalentes en España). Nuestro equipo no accede al contenido de casos salvo con autorización explícita tuya para soporte técnico puntual.
• Cada caso, cliente, documento y resultado se etiqueta con el despacho_id de su despacho.
• Cada consulta a base de datos filtra automáticamente por despacho_id en el middleware de autenticación.
• Imposibilidad estructural de leer datos de otro despacho: no es una regla de aplicación, es una regla de fila.
• Branding y configuración también aislados: cada despacho tiene su logo, colores, ciudad, jurisdicción y datos de facturación independientes.

Autenticación y sesiones

• Contraseñas hasheadas con bcrypt (factor de costo industrial). Nunca almacenamos contraseñas en claro.
• Tokens JWT firmados con secreto rotable. Cada sesión expira automáticamente.
• Cookies httpOnly — el JWT vive en una cookie que JavaScript no puede leer, lo que mitiga ataques XSS de robo de sesión.
• Roles documentados: usuario regular, administrador del despacho, super-admin de plataforma. Cada acción verifica el rol antes de ejecutarse.

Datos en reposo y en tránsito

• Cifrado HTTPS obligatorio en todo el tráfico. HTTP redirige a HTTPS.
• Base de datos PostgreSQL en infraestructura de Railway con cifrado at-rest a nivel de disco.
• Backups automáticos diarios de Railway, cifrados, con retención de 7 días.
• Logos y branding alojados en Cloudinary con URLs firmadas.
• Variables sensibles (claves de API, secretos de JWT, credenciales de DB) gestionadas como secretos de entorno, nunca en código.

Cómo trabajamos con IA

CaseCore usa modelos de lenguaje (LLMs) para análisis y generación. Esto es lo que no hacemos:

• No entrenamos modelos con tu contenido. Los datos de tu despacho nunca alimentan el entrenamiento de modelos generalistas. Anthropic, nuestro proveedor de IA, lo confirma contractualmente en sus términos comerciales.
• No compartimos casos entre clientes. Cada llamada a la IA va con el contexto del caso específico de tu despacho, aislada del resto.
• No automatizamos sin trazabilidad. Cada análisis IA queda registrado con timestamp, modelo usado, costo y resultado, accesible desde tu dashboard.
• El abogado titulado siempre revisa. CaseCore es un copiloto. Cada documento, cotización y análisis es editable y revisable. La firma profesional sigue siendo del abogado con cédula.

Auditoría y trazabilidad

• Audit log estructurado: cada acción crítica (login, edición de caso, eliminación, cambio de configuración) queda registrada con usuario, IP, timestamp y detalles.
• Versionado de casos: cada análisis genera un registro inmutable. El historial completo está disponible en el dashboard.
• Tracking de costo IA: cada llamada a modelos LLM se registra con tokens usados y costo asociado.
• Eval interno de calidad: cada caso analizado se evalúa automáticamente y se asigna un quality score visible al usuario.

Cumplimiento regulatorio

CaseCore está diseñado para cumplir con las normas de protección de datos personales de los mercados que servimos:

• México — LFPDPPP: aviso de privacidad publicado, derechos ARCO accionables, mecanismo de revocación de consentimiento, designación de responsable de tratamiento.
• España — RGPD: base legal de tratamiento documentada (ejecución contractual + interés legítimo), derecho al olvido implementado, registro de actividades de tratamiento.
• Subprocesadores: lista pública y actualizada de proveedores que procesan datos en nuestro nombre (Railway, Anthropic, Cloudinary).
• Notificación de brechas: en caso de incidente, notificación al despacho dentro de 72 horas conforme a RGPD/LFPDPPP.