Seguridad y Privacidad

1. Privacidad por diseño

La privacidad y el trato responsable de los datos personales constituyen la piedra angular del diseño de ACHALAI (Privacy by Design y Privacy by Default). La plataforma aplica controles continuos guiados por los estándares normativos más estrictos a nivel internacional y regional:

• Reglamento General de Protección de Datos (GDPR - Reglamento UE 2016/679): Principios de licitud, lealtad, transparencia, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad.
• Ley N° 25.326 de Protección de los Datos Personales (República Argentina): Resguardo formal de las bases de datos y garantía plena del ejercicio de los derechos de acceso, rectificación, actualización y supresión de datos personales.
• Relación B2B de tratamiento: En el marco de la prestación de servicios, el Cliente reviste el carácter de Responsable del Tratamiento (Data Controller) y ACHALAI actúa en calidad de Encargado del Tratamiento (Data Processor), formalizado a través de un Acuerdo de Encargado de Tratamiento (DPA) jurídicamente vinculante.

2. Infraestructura y protección de datos

La plataforma protege la información sensible de las organizaciones a lo largo de todas las etapas de su ciclo de vida mediante tecnologías probadas de cifrado y hardening de red:

• Cifrado de datos en reposo (AES-256): Todos los volúmenes de almacenamiento persistente, bases de datos transaccionales y copias de seguridad automatizadas están cifrados utilizando el estándar criptográfico AES-256 (Advanced Encryption Standard).
• Cifrado de datos en tránsito (TLS 1.3 / HTTPS / HSTS): Toda comunicación entre los usuarios y los servidores de ACHALAI viaja cifrada mediante protocolos TLS 1.3 y TLS 1.2. Se impone el uso exclusivo de HTTPS con directivas estrictas de seguridad de transporte HTTP (HSTS con max-age extendido y precarga) para neutralizar ataques de degradación de protocolo.
• Infraestructura empresarial de clase mundial: Los servicios se alojan en centros de datos cloud de primer nivel que cuentan con esquemas de redundancia física, control biométrico de acceso, mitigación volumétrica contra ataques DDoS y disponibilidad de alta resiliencia.

3. Identidad y control de acceso

El acceso a datos salariales y de talento está estrictamente restringido bajo una política de defensa en profundidad:

• Acceso de mínimo privilegio (Least Privilege): Cada usuario accede únicamente a los datos e interfaces requeridos para el cumplimiento de sus responsabilidades, delimitados por rol, unidad organizativa y alcance funcional.
• Control de acceso basado en roles (RBAC granular): El sistema define roles predeterminados con privilegios segregados (ClienteAdministrador, CLevel, MiembroHR, Manager y Ocupante). La visualización de bandas salariales, salarios individuales o datos de contratistas está blindada según el perfil correspondiente.
• Seguridad a nivel de fila (Row Level Security - RLS): La confidencialidad no depende únicamente de la capa de interfaz visual; se hace cumplir de manera inviolable en el propio motor de base de datos. Cada consulta se filtra según la identidad criptográfica y el identificador de inquilino (tenant ID) de la sesión autenticada, impidiendo cualquier cruce accidental de información entre clientes u organizaciones.
• Autenticación corporativa y Single Sign-On (SSO): Integración nativa con Google Workspace mediante protocolos estándar OAuth 2.0 y OpenID Connect, complementada con autenticación directa para cuentas de correo corporativo verificado. Esto permite a las organizaciones aplicar sus propias políticas de autenticación multifactor (MFA) y beneficiarse de la protección de accesos de su proveedor de identidad.

4. Trazabilidad y auditoría

Para garantizar la rendición de cuentas y la transparencia operativa, ACHALAI incorpora mecanismos exhaustivos de registro y auditoría:

• Logs de auditoría inmutables: Se genera un registro de auditoría estructurado para cada evento sensible en la plataforma: modificaciones de salarios, ajustes en bandas, valuaciones de puestos, transferencias de colaboradores en la estructura y asignación de permisos.
• Marcas de tiempo (Timestamps UTC): Cada registro conserva la marca temporal precisa, la identidad del usuario ejecutor, la dirección IP de origen, el tipo de acción y el estado anterior y posterior del registro afectado.
• Simulaciones presupuestarias en Sandbox aislado: El módulo de compensaciones incluye un entorno Sandbox confidencial. Permite proyectar escenarios de aumentos o reestructuraciones de nómina de forma completamente aislada, sin modificar los datos productivos ni divulgar decisiones en etapa de evaluación.

5. Privacidad e Inteligencia Artificial

ACHALAI concibe a la inteligencia artificial como un asistente analítico riguroso, no como un sustituto del criterio humano ni como una herramienta opaca. Nuestros compromisos en materia de IA son categóricos:

• Política estricta de no entrenamiento: Los datos de los clientes (salariales, de estructura, de ocupantes o de talento) NUNCA se utilizan ni se utilizarán para entrenar, reentrenar ni optimizar modelos propios de ACHALAI, ni modelos públicos o comerciales de terceros.
• Modelos aislados y procesamiento efímero: Las consultas analíticas de IA se procesan bajo acuerdos empresariales con políticas de cero retención de datos (Zero Data Retention) en los proveedores de modelos. Los datos solo se mantienen en memoria durante la ejecución de la consulta analítica y no se persisten en logs de inferencia externos.
• Gobernanza humana y no delegación de autoridad: La inteligencia artificial asiste; las personas deciden. En ACHALAI, ninguna decisión sobre personas (salarios, contrataciones, desvinculaciones o promociones) se adopta de forma automatizada por el sistema.
• Rendición de cuentas para Agentes IA: Cuando una organización modela Agentes de Inteligencia Artificial dentro de su estructura de puestos, el sistema exige indefectiblemente su asociación con un responsable humano (Persona o Contratista) para asegurar una línea de gobernanza ininterrumpida.
• Independencia de la valuación del puesto: La metodología de valuación analiza el puesto y sus responsabilidades objetivas, nunca a la persona individual que lo ocupa, neutralizando sesgos personales o discriminatorios.

6. Retención y control de los datos

El Cliente conserva en todo momento la propiedad, la potestad y el control integral sobre sus datos:

• Exportación nativa e interoperabilidad (.xlsx): ACHALAI incorpora capacidades de exportación nativa de la información en planillas estructuradas de cálculo (.xlsx) y formatos estándar, asegurando que la organización mantenga soberanía total sobre sus datos sin bloqueos de proveedor (vendor lock-in).
• Ciclo de vida y políticas de retención: Los datos se conservan únicamente durante la vigencia de la suscripción o contrato de servicio. Ante la finalización del vínculo comercial, el cliente puede solicitar la exportación íntegra de su base de datos.
• Supresión y eliminación definitiva: Conforme a las cláusulas estipuladas en el DPA, concluido el período de custodia o ante solicitud formal del cliente, se ejecuta la eliminación lógica y destrucción segura de los datos en los entornos productivos y de respaldo.
• Acuerdo de Encargado de Tratamiento (DPA vinculante): ACHALAI pone a disposición de sus clientes corporativos un DPA formal que instrumenta los compromisos de seguridad, protocolos de notificación ante incidentes y colaboración en auditorías de protección de datos.

7. Infraestructura y certificaciones

Para garantizar la máxima fiabilidad sin incurrir en afirmaciones desmedidas, ACHALAI comunica con total transparencia el alcance de las certificaciones técnicas que sustentan su operación:

• SOC 2 Type II: Los proveedores cloud y centros de datos seleccionados por ACHALAI cuentan con atestaciones independientes SOC 2 Type II basadas en los Criterios de Servicios de Confianza del AICPA (Seguridad, Disponibilidad y Confidencialidad).
• ISO/IEC 27001: La infraestructura subyacente opera bajo Sistemas de Gestión de Seguridad de la Información (SGSI) certificados bajo la norma internacional ISO/IEC 27001, complementada con ISO/IEC 27017 (Seguridad Cloud) e ISO/IEC 27018 (Privacidad en la Nube).
• Alcance y transparencia: Estas certificaciones corresponden a los proveedores de infraestructura seleccionados para el alojamiento y procesamiento de la plataforma. ACHALAI no pretende atribuirse certificaciones que no hayan sido emitidas a su nombre de forma directa, preservando el rigor y la veracidad en toda su comunicación técnica e institucional.