Saltar al contenido
grostifyConnectDocs

Seguridad y privacidad

Cómo protege Connect tu API, las credenciales de tus usuarios y los datos que pasan por él.

En esta página

Credenciales y cifrado

  • Cada integración tiene su propia clave de datos. Se cifra con una clave maestra en Google Cloud KMS que nunca sale de KMS.
  • Las credenciales de tus usuarios (access y refresh tokens, o API keys), tu client secret de OAuth y las claves de firma se cifran con esa clave usando AES-256-GCM.
  • Los tokens de negocio de Meta y las credenciales de prueba también se cifran con AES-256-GCM, con una clave guardada en Google Secret Manager.
  • Los códigos de autorización y refresh tokens propios de Connect se guardan solo como hash.
  • Connect solo vuelve a mostrar los 4 últimos caracteres de una key o de una credencial de prueba.

Las credenciales se añaden a cada petición a tu API y nunca llegan al modelo de IA. Si tu API repite una credencial en su respuesta, Connect la sustituye por [redacted] antes de pasar el resultado. Las credenciales de menos de 8 caracteres no se sustituyen.

Tu API, y solo tu API

  • Connect llama a tu API solo después de que verifiques tu dominio, y solo a ese host.
  • Las llamadas usan HTTPS, los puertos 443 u 8443, y solo direcciones públicas. Se bloquean las direcciones privadas, locales y de metadatos de la nube.
  • No se siguen redirecciones.
  • Cada llamada tiene un tiempo máximo de 10 segundos y un límite de respuesta de 2 MB.

Cada usuario, su propio acceso

  • Cada llamada lleva la credencial del usuario que preguntó. Un asistente solo ve lo que ese usuario puede ver en tu sistema.
  • Tus usuarios aprueban el acceso en una página de Connect que muestra tu dominio verificado, cada vez que se conectan. Connect nunca ve su contraseña.
  • Las páginas que ven tus usuarios no se pueden incrustar en otros sitios.
  • Puedes revocar cualquier conexión en cualquier momento.

Qué registra Connect

En cada llamada a una tool, Connect registra la tool, el canal, el resultado, el estado HTTP, el tiempo que tardó y el tamaño de la respuesta. Nunca registra los argumentos ni la respuesta. También se registran los cambios en las integraciones, las revisiones y las conexiones, con las direcciones IP guardadas como hash.

Mensajes de WhatsApp

  • El texto de los mensajes se guarda para que tu equipo lo lea en la bandeja. Nunca se escribe en los logs del servidor.
  • Al conectar un número que ya usas en la app, tu historial de chats anterior y los contactos del móvil no se importan.
  • Los archivos multimedia no se descargan.

Chat web

  • La cookie de sesión es particionada, HttpOnly y Secure. El JavaScript de tu web nunca la ve y Connect solo guarda su hash.
  • El chat corre en un iframe que solo pueden incrustar los orígenes que permites. Tu página nunca manda texto al asistente.
  • El texto de las conversaciones nunca se escribe en los logs del servidor y se borra a los 30 días. Tu empresa ve métricas, no texto.
  • Los enlaces de las respuestas se quitan salvo que apunten a tu dominio verificado.

Mira Chat web.

Proveedores de IA

FunciónQué se envía a Anthropic
Tools en Claude y ChatGPTNada. Connect no llama a ningún modelo: los resultados van al propio asistente del usuario.
Redactar descripciones con ClaudeLa estructura de tu API: nombres, rutas, parámetros y nombres de los campos de respuesta. Nunca tus datos ni tus credenciales.
Asistente de WhatsAppLas preguntas del cliente y los resultados de las tools necesarias para responderlas. Nunca credenciales ni los mensajes de tu equipo.
Chat webLas preguntas del cliente y los resultados de las tools necesarias para responderlas. Nunca credenciales.

Dónde funciona

Grostify opera desde Estados Unidos. Connect funciona en Google Cloud, y sus claves están en Cloud KMS en la región us-east4.

Borrar datos

Lee la política de privacidad (se abre en una pestaña nueva) para los plazos de conservación y tus derechos.