Seguridad

La seguridad en BiVelio sigue un modelo de Zero Trust con cuatro capas de defensa. Cada componente del sistema opera con el principio de privilegio minimo y toda operacion queda registrada para auditoria.

Principios fundamentales

Principio	Implementacion
Zero Trust	Toda peticion se autentica y autoriza, sin excepciones
Privilegio minimo	Cada componente accede solo a los datos que necesita
Defensa en profundidad	4 capas de seguridad independientes
Auditoria total	Toda operacion queda registrada con trazabilidad

Capas de seguridad

Capa 1 — Control core (base de datos)

Row Level Security (RLS) — aislamiento por organization_id en todas las tablas
Cada query se filtra automaticamente por la organizacion del usuario autenticado
Imposible acceder a datos de otro workspace, incluso con errores de codigo

Capa 2 — Validacion del orquestador

Las Edge Functions validan JWT del usuario o service role key en cada peticion
El org_id se extrae del token y se inyecta en todas las consultas
Comparacion de claves en tiempo constante para prevenir ataques de timing

Capa 3 — Ejecucion aislada

Los agentes IA operan en sandbox sin acceso directo a la base de datos
Los workflows ejecutan cada nodo con permisos acotados
Las integraciones MCP operan con credenciales minimas por proveedor

Capa 4 — Interfaz y autenticacion

Autenticacion via Supabase Auth (JWT)
RBAC con 3 roles: Super Admin, Process Admin, Operador
Sesiones con expiracion configurable
Sin almacenamiento de contrasenas en texto plano

Encriptacion

Datos en transito

TLS obligatorio en todas las comunicaciones
HTTPS forzado en app.bivelio.com y todas las Edge Functions
Certificados gestionados automaticamente

Datos en reposo

Credenciales de integraciones MCP encriptadas con AES-256-GCM
Tokens OAuth (Google, WhatsApp) encriptados con el mismo estandar
Derivacion de clave via PBKDF2 con 100.000 iteraciones
Formato de almacenamiento: enc:v1:<base64> (versionado para rotacion futura)
Secretos del servidor almacenados con permisos 0600 (solo root)

Las claves de encriptacion nunca se almacenan junto a los datos encriptados. La rotacion de claves es posible gracias al prefijo de version en el formato de almacenamiento.

Aislamiento multi-tenant

BiVelio es multi-tenant por diseno. El aislamiento se garantiza a nivel de base de datos:

Cada tabla relevante incluye organization_id como columna de particion
Politicas RLS activas en todas las tablas con datos de tenant
Indices optimizados para filtrado por organizacion
Las Edge Functions siempre inyectan el org_id del token autenticado
No existe endpoint que devuelva datos cross-tenant

RBAC — Control de acceso por roles

Rol	Permisos
Super Admin	Acceso completo: configuracion, usuarios, facturacion, integraciones
Process Admin	Gestion de procesos, expedientes, workflows y agentes
Operador	Operacion diaria: atencion, expedientes asignados, tareas

Los permisos se validan tanto en el frontend (visibilidad de UI) como en el backend (politicas RLS y validacion en Edge Functions).

Compliance

Datos almacenados en la UE
DPA (Data Processing Agreement) firmado con proveedores de infraestructura
Derecho de acceso, rectificacion y supresion implementado
Log de consentimiento y base legal por operacion

LQPD / APDA (Marco andorrano)

BiVelio cumple con la Llei Qualificada de Proteccio de Dades de Andorra:

Residencia de datos compatible con el marco andorrano
Medidas tecnicas y organizativas (TOM) documentadas
Clasificacion de datos personales por categoria

Datos personales tratados

Categoria	Ejemplos
Datos maestros	Nombre, email, telefono, direccion
Datos de comunicacion	Mensajes, emails, llamadas
Datos contractuales	Expedientes, facturas, servicios
Datos de log	Accesos, operaciones, timestamps
Datos de pago	Gestionados por Stripe (PCI DSS)

Human-in-the-loop obligatorio

Ciertas operaciones criticas requieren confirmacion humana explicita:

Pagos y transacciones financieras
Eliminacion de datos
Cambios en configuracion critica del workspace
Comunicaciones masivas
Despliegue de cambios en produccion

Ningun agente IA ni automatizacion puede ejecutar estas operaciones sin aprobacion explicita de un administrador.

Infraestructura

Edge Functions — Supabase (Deno runtime, aislamiento por peticion)
Base de datos — PostgreSQL con RLS nativo
Frontend — Vercel (CDN global, HTTPS automatico)
VPS (Fernando) — Hetzner (UE), UFW activo, SSH solo por clave, backups automaticos
Pagos — Stripe (PCI DSS Level 1)