Las evidencias deben revelar lo necesario no todo lo que usted sabe.
Las evidencias se procesan en el servicio alojado de AffectLog, en el espacio aislado de su organización. Hoy no existe un ejecutor alojado por el cliente. AffectLog registra documentos, resúmenes y resultados sobre el sistema - no los datos brutos que procesa - y cada decisión tomada sobre ellos.
Pruebas, no datos
Documentos, resúmenes y resultados - nunca los registros en bruto.
Decisiones encadenadas por hash
Cada decisión de autorización se escribe en un registro de solo adición encadenado por hash
Revisión ligada al rol
Comprobaciones del lado del servidor; nadie revisa lo que no puede defender
Todo caduca
Los pasaportes y visados caducan por defecto - la renovación es una nueva decisión
Principios de seguridad
Ocho controles. Activos por defecto. No desactivables por configuración.
La exportación en bruto está desactivada, no solo desaconsejada
No se solicita ni se exporta ningún prompt en bruto, finalización, corpus de recuperación, peso de modelo, registro clínico ni registro financiero. Un registro de pruebas contiene el hallazgo. El indicador de exportación en bruto está desactivado por defecto y no puede fijarse desde el navegador.
Aislamiento entre organizaciones
Las pruebas, los pasaportes, los visados y las decisiones están aislados en la capa de base de datos y de API. Nada cruza el límite de una organización sin un acto explícito y registrado - un Wake, emitido por una persona nombrada, a un destinatario nombrado.
Revisión ligada al rol
Un revisor solo ve las decisiones que su rol puede defender. El DPD asume la base jurídica y la exposición a categorías especiales; el CISO asume las herramientas, las credenciales, la salida (egress) y el registro. Cada ruta aplica la comprobación del lado del servidor - nunca en el cliente.
Registros de pruebas - el hallazgo, no los datos
Un resultado registrado contiene el hallazgo - la comprobación, el método y su versión, la puntuación - y nunca los datos que hay detrás. Los Signal Receipts llevan un hash de integridad calculado por AffectLog en el momento de registrarse.
El registro de decisiones es la constancia
Los hallazgos de escaneo, la emisión y reemisión de pasaportes, la concesión de visados, las denegaciones, las suspensiones y las revocaciones se escriben en un registro por organización, de solo anexión, encadenado por hash, con actor, rol, marca de tiempo, justificación y recurso. El AI Act Art. 12 exige que los eventos queden registrados; aquí es donde quedan registrados.
Claves y secretos
Las claves de firma, las claves de API y los secretos de webhook residen en el entorno, nunca en la base de datos ni en el control de versiones.
Cifrado en tránsito y en reposo
Los datos se cifran en reposo por nuestro proveedor de base de datos y en tránsito mediante TLS 1.2 o superior. Las cargas útiles de los webhooks de pago se verifican por firma antes de procesarse - y una habilitación se activa únicamente ante un evento de webhook verificado, nunca ante una redirección del navegador.
Hoy no hay ejecutor alojado por el cliente
AffectLog aún no ofrece un ejecutor que usted despliegue dentro de su propia infraestructura. Hoy, las pruebas que usted aporta se registran en AffectLog; no se solicitan registros en bruto, corpus, prompts ni pesos. Si su contexto exige ejecución dentro de su infraestructura, díganoslo antes de confiar en AffectLog para ello.
Registros de pruebas
El resultado se registra. La entrada en bruto nunca se solicita.
Una comprobación registrada produce un registro de pruebas: la comprobación, el método y su versión, los parámetros, la puntuación y el resultado. No se incluye ninguna fila de entrada, prompt ni documento.
Registro de pruebas - anatomía
Cabeceras HTTP de seguridad
Lista de materiales de software (SBOM)
Una SBOM legible por máquina en formato CycloneDX o SPDX está disponible para clientes empresariales bajo petición. Los avisos de paquetes de terceros se mantienen en THIRD_PARTY_NOTICES.md.