Seguridad de los datos

• Transporte cifrado con TLS 1.2 o superior en los dominios de ERGON, con certificados de renovación automática.
• Contraseñas guardadas con bcrypt (factor 12), nunca en texto plano. Cada alta usa una contraseña temporal de un solo uso que vence a las 72 horas; la persona define la suya en su primer ingreso.
• Inicio de sesión con Google opcional. ERGON no recibe ni guarda la contraseña de Google.
• Sesión con un token aleatorio de 256 bits guardado en el servidor, que vence a los 7 días, en una cookie HttpOnly y SameSite=Lax. Todo pedido por http se redirige a https.
• Segundo factor de autenticación con un código de seis dígitos, activable por empresa.
• Límites de pedidos por minuto, por dirección IP y por tipo de operación.

• Acceso a los paneles de producción restringido a personal autorizado de DG Ingeniería SRL.
• Claves y secretos gestionados como variables de entorno, fuera del código.
• Los registros de acceso a la infraestructura los conserva cada proveedor según su política.

• Copia diaria de la base de datos, comprimida y guardada fuera del servidor principal, en Cloudflare R2.
• Se conservan las copias diarias de los últimos 14 días y una por mes de los últimos 12 meses. Ante una falla de la base de datos se pierde lo cargado desde la última copia: hasta unas 24 horas.
• Las fotos y los documentos se guardan en un volumen persistente del servidor principal.

La lista vigente, con los datos que trata cada proveedor, está en la Política de privacidad, sección 4. Los cambios se avisan con 30 días de anticipación.

• Cada empresa cliente accede solo a sus propios datos. La plataforma valida cada acceso a una obra o a una licitación contra la empresa de la cuenta.
• La base de datos y la máquina virtual de Licitaciones son compartidas. La separación la aplica la plataforma: cada licitación pertenece a una sola empresa y se procesa en un espacio de trabajo propio.
• Las reglas y preferencias que una empresa registra en su memoria se aplican solo a sus trabajos.

• ERGON no usa los datos de sus clientes para entrenar modelos, propios ni de terceros, incluidas las consultas al asistente y sus respuestas.
• Las consultas y los documentos de cada empresa se procesan con Anthropic; sus condiciones comerciales le prohíben entrenar modelos con ese contenido. Si el contrato la habilita, la clasificación de apoyo de Radar envía a TypeSafe solo el texto público de cada llamado.
• ERGON no usa los datos de una empresa para otra empresa ni para fines propios del operador.
• Para medir el uso de las funciones, ERGON usa métricas agregadas y anonimizadas, según la Política de privacidad y los Términos, cláusula 9.

• Radar lee una vez por día los datos abiertos de la Dirección Nacional de Contrataciones Públicas. El barrido es común a todas las empresas porque son datos públicos.
• Los criterios, las marcas y la clasificación de cada empresa se guardan separados por empresa y por departamento. Los ven los miembros del departamento y el administrador de su empresa.
• El reporte sale desde [email protected] por Resend, en un correo por destinatario y con el dominio autenticado (SPF y DKIM). De cada envío, ERGON registra la fecha, la cantidad de destinatarios y qué llamados avisó, sin las direcciones ni el contenido del correo.
• Los textos de la DNCP van al Excel del reporte como texto: ninguno se ejecuta como fórmula.
• La clasificación con IA, si el contrato la habilita, recibe solo el título, el convocante, la categoría de la DNCP y los ítems del llamado; nunca los criterios ni datos de la empresa.

• Exportación desde el panel: el presupuesto en Excel y los datos de gestión de cada obra en un archivo .ergon.json.
• Después de la baja, la cuenta queda 30 días en solo lectura para exportar los datos; luego se eliminan de la plataforma. Lo eliminado permanece en las copias de respaldo hasta que vencen, como máximo 12 meses.

Ante un incidente que afecte datos personales, ERGON notifica a las empresas cliente afectadas dentro de 72 horas de detectado, con la información disponible y un plan de mitigación. Los reportes de vulnerabilidades se reciben en [email protected].