Seguridad en Pleaxy

Pleaxy funciona en Amazon Web Services, en la región US East (N. Virginia). El backend es serverless (Amazon API Gateway, AWS Lambda y Amazon DynamoDB), y la aplicación y este sitio se sirven desde Amazon S3 a través de Amazon CloudFront.

Todas las solicitudes están sujetas a un límite de frecuencia general de la API, y los flujos de facturas y el asistente integrado en la aplicación tienen sus propios límites por clave y diarios para contener los abusos.

• Las cuentas se gestionan con Amazon Cognito. El inicio de sesión usa el protocolo Secure Remote Password, por lo que su contraseña nunca se envía a los servidores de Pleaxy ni se almacena en ellos.
• Las direcciones de correo electrónico se verifican al registrarse, y las contraseñas deben tener al menos 8 caracteres, con mayúsculas, minúsculas y un dígito.
• Cualquier usuario puede activar la verificación en dos pasos con una aplicación de autenticación. Es opcional, no obligatoria, y no ofrecemos códigos por SMS.
• Cualquier usuario puede añadir una llave de acceso (passkey) e iniciar sesión con su cara, su huella dactilar o el PIN de su dispositivo. Una llave de acceso solo funciona en el propio sitio de Pleaxy, por lo que un sitio que lo imite no puede usarla. Su contraseña sigue funcionando junto a ella.
• Con el plan Enterprise, una empresa puede configurar el inicio de sesión único con su propio proveedor de identidad: Okta, Microsoft Entra ID o cualquier proveedor SAML 2.0 u OpenID Connect. Los administradores verifican primero el dominio de correo de la empresa, pueden exigir el inicio de sesión único a todos los que lo usan y mantienen administradores de acceso de emergencia que aún pueden entrar con contraseña.
• El token de acceso de cada solicitud a la API se verifica criptográficamente, y su pertenencia al espacio de trabajo se vuelve a comprobar en cada solicitud: así, cuando un administrador elimina a alguien, esa persona pierde el acceso al espacio de trabajo en su siguiente solicitud, no cuando caduca su token.
• Las claves de API también se revocan automáticamente: cuando un administrador elimina a alguien, o cambia su rol de Administrador a otro rol, todas las claves de API que esa persona creó en el espacio de trabajo se revocan como parte del mismo cambio, y se informa al administrador que realiza el cambio de qué claves se revocaron.

Cada empresa trabaja en su propio espacio de trabajo. Cada registro se almacena bajo la clave de su espacio de trabajo, y cada solicitud se comprueba en el servidor frente a la pertenencia de quien la realiza al espacio de trabajo antes de leer o escribir ningún dato. Hay dos cosas que se comparten por diseño: las órdenes de compra y las facturas son visibles para ambas partes de la operación, y los compradores que invitan a proveedores pueden encontrar perfiles de proveedores verificados (nombre de la empresa, correo electrónico de contacto y nombres de los espacios de trabajo en los que el proveedor está activo).

Los espacios de trabajo de comprador tienen seis roles de compras (Administrador, Solo lectura, Contratos y proveedores, Relaciones, Solicitudes y Finanzas), cada uno de los cuales concede acceso nulo, de visualización, de creación o de edición a cada módulo. Los permisos los aplica la API; no se limitan a ocultarse en la interfaz. Los espacios de trabajo de proveedor usan un modelo más sencillo de administrador y miembro.

• Cada paso de aprobación se asigna a una persona concreta, y solo esa persona puede aprobarlo o rechazarlo. Un paso sin nadie asignado queda en espera hasta que un administrador asigna a alguien.
• Una clave de API nunca puede aprobar ni rechazar un paso de aprobación. Tampoco puede modificar cadenas de aprobación, reglas de automatización, umbrales de aprobación automática ni límites de gasto: solo puede hacerlo una persona con la sesión iniciada. Una integración puede emitir órdenes de compra y facturas, pero si necesitan un aprobador humano lo deciden únicamente las reglas que fija su equipo.
• Las órdenes de compra y las facturas pueden seguir aprobándose automáticamente si sus administradores activan reglas de automatización, o si los administradores o los usuarios de Finance fijan un umbral de aprobación automática. Esas aprobaciones se registran como automáticas.
• Cada aprobación, rechazo, reasignación u omisión se conserva en el historial de aprobaciones del documento, con quién (o qué automatización) la realizó y cuándo.
• Un solicitante solo puede aprobar su propia solicitud cuando es el único aprobador posible, y eso se registra como una autoaprobación. Una empresa no puede emitir órdenes de compra ni facturas consigo misma.

• Una factura que un comprador registra para un proveedor, a partir de un PDF recibido por correo, un escaneo o una copia en papel, trae datos bancarios que no vienen del proveedor. Queda retenida hasta que el proveedor la confirma en Pleaxy, o un usuario del comprador que no la registró confirma los datos bancarios con el proveedor por teléfono. Hasta entonces no se puede aprobar, pagar ni exportar para su pago.
• Un proveedor puede indicar que una factura no es suya o que no lleva sus datos bancarios. Una factura así queda retenida de forma definitiva.
• Cuando una factura enviada desde la propia cuenta de un proveedor trae datos bancarios distintos de los de su última factura a ese comprador, cada administrador del proveedor recibe un aviso en Pleaxy y por correo. El correo muestra solo el método de pago, el banco y los cuatro últimos caracteres de la cuenta, nunca el número completo.
• Desde ese aviso, un administrador del proveedor puede bloquear en un solo paso la cuenta de la que vino la factura: se cierra su sesión en todos los dispositivos, se revocan las claves de API que creó y la factura se notifica al comprador. Si la envió una clave de API, solo se revoca esa clave. Cada bloqueo queda registrado.
• Los datos bancarios de una factura que nadie ha confirmado nunca se usan como referencia para comparar la siguiente.

• Las claves de API se generan a partir de 32 bytes aleatorios y se muestran una sola vez. Solo almacenamos un hash con clave (HMAC-SHA256), nunca la clave en sí, y lo comparamos en tiempo constante.
• Cada clave pertenece a un espacio de trabajo y a un rol (las claves de proveedor llevan además ámbitos explícitos) y puede revocarse en cualquier momento. Solo un administrador con la sesión iniciada puede crear o revocar claves; una clave no puede generar otra clave. Las claves de una persona se revocan automáticamente cuando se la elimina del espacio de trabajo o deja de ser administradora, y volver a añadirla no restaura una clave revocada.
• El servidor MCP de Pleaxy, que permite a los agentes de IA llamar a Pleaxy, usa la misma API y la misma clave con ámbito. No obtiene privilegios adicionales.

• En tránsito: solo HTTPS. El HTTP simple se redirige, el almacenamiento rechaza las conexiones sin cifrar y se indica a los navegadores que usen HTTPS en cada visita (HSTS), junto con las cabeceras de seguridad estándar de AWS.
• En reposo: las bases de datos, el almacenamiento de archivos, las colas y los secretos se cifran con claves gestionadas por AWS.

Los secretos de la aplicación se guardan en AWS Secrets Manager y en Systems Manager Parameter Store, nunca en el código fuente ni en la configuración de despliegue.

Cada conexión de facturación de la nube es de solo lectura, se crea en su propia cuenta y puede revocarse desde su propia consola. Nunca le pedimos sus contraseñas ni sus claves de acceso a la nube. En AWS, usted crea un rol de facturación con un External ID exclusivo de la conexión, y Pleaxy lo asume. Google Cloud y Microsoft Azure usan inicio de sesión federado, por lo que no se almacena ningún secreto. Para Oracle Cloud Infrastructure (OCI), Pleaxy genera una clave de firma de API para la conexión y usted solo sube su clave pública; la clave privada solo se almacena cifrada con AWS KMS, y eliminar la clave en Oracle revoca el acceso. Los datos de facturación ya importados permanecen en su espacio de trabajo hasta que se eliminan.

Los proveedores de IA que conectas directamente (OpenAI, Anthropic, Mistral, OpenRouter, Databricks, CoreWeave y Snowflake) usan una clave que creas en su consola. Pleaxy la comprueba con una lectura antes de guardarla, solo la usa para leer consumo y costes, y la guarda únicamente cifrada con AWS KMS, ligada a esa conexión; a partir de ahí solo se muestran sus cuatro últimos caracteres. Para Snowflake, Pleaxy genera un par de claves y tú asignas solo la clave pública a un usuario de servicio. Al desconectar, la clave se borra de inmediato, y revocarla en la consola del proveedor también corta el acceso; el consumo de IA ya importado se queda como historial.

Los límites de gasto en un proveedor son opcionales y usan una credencial aparte que creas solo para eso, nunca la de la conexión de solo lectura: un rol de AWS limitado a presupuestos, una cuenta de servicio de Google Cloud o una aplicación de Azure federadas como la conexión, o una clave de administrador de OpenAI o Anthropic distinta, cifrada del mismo modo. Pleaxy la comprueba antes de guardarla y puedes quitarla cuando quieras.

Los formularios fiscales, los certificados de seguro y las cartas bancarias se guardan en un bucket de almacenamiento privado y solo son accesibles mediante enlaces firmados de corta duración. Eliminar un documento borra todas sus versiones almacenadas.

• El asistente integrado en la aplicación funciona con Claude de Anthropic a través de Amazon Bedrock, al que se llama desde nuestra propia cuenta de AWS en la región US East.
• Pleaxy no conserva transcripciones de los chats. Una acción que propone el asistente se retiene brevemente para que usted pueda confirmarla.
• El asistente actúa como el usuario con la sesión iniciada, exactamente con sus permisos. Las aprobaciones, los pagos registrados, las resoluciones de discrepancias y los cambios en las reglas de automatización solo se proponen: una persona confirma cada uno con un botón. El asistente también puede rechazar un documento, crear una orden de compra, convertir una en factura, volver a ejecutar la conciliación de facturas o enviar un recordatorio sin un paso de confirmación aparte; tiene instrucciones de hacerlo solo cuando usted lo pide, así que revise lo que le indica que va a hacer.

• Un registro de auditoría de AWS CloudTrail para toda la cuenta registra cada llamada a la API de administración de AWS, con validación de la integridad de los archivos de registro, y se conserva durante 365 días en un bucket cuya política impide la eliminación. Los cambios en el registro de auditoría o en esa política generan una alerta.
• Hay alarmas automáticas que vigilan los errores y la latencia de la API, los trabajos fallidos y las sincronizaciones de facturación fallidas, con un canal independiente para las alertas de seguridad.
• Las bases de datos de producción tienen recuperación a un momento dado y protección contra eliminación, y el almacenamiento de documentos tiene control de versiones.
• Los registros de acceso a la API se conservan durante 30 días y los de la aplicación, durante 90 días.

Si cree que ha encontrado un problema de seguridad en Pleaxy, escriba a support@pleaxy.ai con los detalles. Le rogamos que nos dé una oportunidad razonable de corregirlo antes de divulgarlo públicamente.

El RGPD es una ley, no un certificado, y desarrollamos Pleaxy para cumplirla. Para los datos que usted introduce en su espacio de trabajo (empleados, proveedores, órdenes de compra, facturas y documentos), usted es el responsable del tratamiento y Pleaxy es su encargado del tratamiento, que actúa únicamente según sus instrucciones. Para los datos de la cuenta, de facturación y del sitio web, Pleaxy es el responsable del tratamiento.

• Acuerdo de Tratamiento de Datos: escríbanos si necesita uno. Incluye nuestra lista de subencargados del tratamiento, las medidas de seguridad de esta página y las cláusulas de transferencia que se indican a continuación.
• Dónde se encuentran los datos: en Estados Unidos (AWS US East). Las transferencias de datos personales de la UE y del Reino Unido están cubiertas por las Cláusulas Contractuales Tipo de la UE y el Addendum del Reino Unido de nuestro DPA.
• Sus derechos: las solicitudes de acceso, rectificación y supresión se atienden previa solicitud; consulte nuestra Política de privacidad.

No vendemos información personal ni la “compartimos” para publicidad conductual entre contextos, tal como la legislación de California define esos términos, y el sitio web de Pleaxy no usa rastreadores publicitarios ni de analítica.

Pleaxy nunca maneja los datos de su tarjeta. Los pagos de las suscripciones se procesan en las páginas alojadas por Stripe, y Stripe es un proveedor de servicios PCI DSS de nivel 1.