Seguridad y cumplimiento

• La inferencia puede ejecutarse íntegramente en hardware bajo control del cliente.
• Los eventos, capturas y registros de auditoría pueden permanecer en un directorio de datos controlado por el cliente.
• Los modelos en la nube y las integraciones externas son opcionales; los administradores eligen qué servicios activar.

• Los roles de comandos se dividen en viewer, operator y admin.
• El endpoint MCP utiliza autenticación mediante token bearer; las herramientas de comandos están desactivadas por defecto.
• Las acciones de gran impacto deben requerir aprobación humana y ejecutarse a través de los sistemas de control existentes de las instalaciones.

• Las transiciones de estado se escriben en un registro de eventos de solo adición.
• Los eventos críticos pueden conservar pruebas visuales con marca de tiempo.
• Las llamadas a herramientas del agente, las notificaciones y las acciones de operadores pueden conservar la fuente y el contexto temporal.

• La configuración sensible se proporciona mediante variables de entorno y no debe guardarse en el control de versiones.
• Los webhooks de alertas externas admiten verificación HMAC.
• Los fallos de inferencia, notificación y herramientas de agentes están aislados del bucle principal de monitorización.

Actualmente no afirmamos disponer de SOC 2, ISO 27001, HIPAA ni otras certificaciones de terceros. Si tu proceso de compras requiere controles específicos, un DPA, residencia de datos o un cuestionario de seguridad, contacta con nosotros para revisar el despliegue.

No reveles vulnerabilidades en incidencias públicas. Envía los pasos para reproducir el problema, su impacto y tus datos de contacto a security@tensordynamics.org.