Seguretat

La seguretat a BiVelio segueix un model de Zero Trust amb quatre capes de defensa. Cada component del sistema opera amb el principi de privilegi mínim i tota operació queda registrada per a auditoria.

Principis fonamentals

Principi	Implementació
Zero Trust	Tota petició s’autentica i s’autoritza, sense excepcions
Privilegi mínim	Cada component accedeix només a les dades que necessita
Defensa en profunditat	4 capes de seguretat independents
Auditoria total	Tota operació queda registrada amb traçabilitat

Capes de seguretat

Capa 1 — Control core (base de dades)

Row Level Security (RLS) — aïllament per organization_id a totes les taules
Cada query es filtra automàticament per l’organització de l’usuari autenticat
Impossible accedir a dades d’un altre workspace, fins i tot amb errors de codi

Capa 2 — Validació de l’orquestrador

Les Edge Functions validen JWT de l’usuari o service role key en cada petició
L’org_id s’extreu del token i s’injecta en totes les consultes
Comparació de claus en temps constant per prevenir atacs de timing

Capa 3 — Execució aïllada

Els agents IA operen en sandbox sense accés directe a la base de dades
Els workflows executen cada node amb permisos delimitats
Les integracions MCP operen amb credencials mínimes per proveïdor

Capa 4 — Interfície i autenticació

Autenticació via Supabase Auth (JWT)
RBAC amb 3 rols: Super Admin, Process Admin, Operador
Sessions amb expiració configurable
Sense emmagatzematge de contrasenyes en text pla

Xifratge

Dades en trànsit

TLS obligatori en totes les comunicacions
HTTPS forçat a app.bivelio.com i totes les Edge Functions
Certificats gestionats automàticament

Dades en repòs

Credencials d’integracions MCP xifrades amb AES-256-GCM
Tokens OAuth (Google, WhatsApp) xifrats amb el mateix estàndard
Derivació de clau via PBKDF2 amb 100.000 iteracions
Format d’emmagatzematge: enc:v1:<base64> (versionat per a rotació futura)
Secrets del servidor emmagatzemats amb permisos 0600 (només root)

Les claus de xifratge mai no s’emmagatzemen junt amb les dades xifrades. La rotació de claus és possible gràcies al prefix de versió en el format d’emmagatzematge.

Aïllament multi-tenant

BiVelio és multi-tenant per disseny. L’aïllament es garanteix a nivell de base de dades:

Cada taula rellevant inclou organization_id com a columna de partició
Polítiques RLS actives en totes les taules amb dades de tenant
Índexs optimitzats per a filtratge per organització
Les Edge Functions sempre injecten l’org_id del token autenticat
No existeix cap endpoint que retorni dades cross-tenant

RBAC — Control d’accés per rols

Rol	Permisos
Super Admin	Accés complet: configuració, usuaris, facturació, integracions
Process Admin	Gestió de processos, expedients, workflows i agents
Operador	Operació diària: atenció, expedients assignats, tasques

Els permisos es validen tant al frontend (visibilitat de UI) com al backend (polítiques RLS i validació a Edge Functions).

Compliance

Dades emmagatzemades a la UE
DPA (Data Processing Agreement) signat amb proveïdors d’infraestructura
Dret d’accés, rectificació i supressió implementat
Log de consentiment i base legal per operació

LQPD / APDA (Marc andorrà)

BiVelio compleix amb la Llei Qualificada de Protecció de Dades d’Andorra:

Residència de dades compatible amb el marc andorrà
Mesures tècniques i organitzatives (TOM) documentades
Classificació de dades personals per categoria

Dades personals tractades

Categoria	Exemples
Dades mestres	Nom, email, telèfon, adreça
Dades de comunicació	Missatges, emails, trucades
Dades contractuals	Expedients, factures, serveis
Dades de log	Accessos, operacions, timestamps
Dades de pagament	Gestionades per Stripe (PCI DSS)

Human-in-the-loop obligatori

Certes operacions crítiques requereixen confirmació humana explícita:

Pagaments i transaccions financeres
Eliminació de dades
Canvis en configuració crítica del workspace
Comunicacions massives
Desplegament de canvis en producció

Cap agent IA ni automatització pot executar aquestes operacions sense aprovació explícita d’un administrador.

Infraestructura

Edge Functions — Supabase (Deno runtime, aïllament per petició)
Base de dades — PostgreSQL amb RLS natiu
Frontend — Vercel (CDN global, HTTPS automàtic)
VPS (Fernando) — Hetzner (UE), UFW actiu, SSH només per clau, backups automàtics
Pagaments — Stripe (PCI DSS Level 1)