Trust

Security

Fecha de vigencia: Vigencia August 10, 2026
Última actualización: Última actualización August 10, 2026

This page describes the controls Agnotiq, Inc. builds into Agnotiq MarginTide Pricing Intelligence (the Service) to protect your data and your customers’ trust. It works together with our Privacy Policy and Terms of Service.

What this page covers.

Every control described below is live in the Service today. Where something is planned but not yet shipped, it is labeled as a roadmap item — we do not describe planned work as already delivered.

Descripción general

Agnotiq MarginTide Pricing Intelligence es un servicio multiinquilino: el catálogo, los ciclos de precios y las recomendaciones de cada cliente residen en un espacio de trabajo aislado. Las secciones siguientes explican cómo mantenemos separados los espacios de trabajo, cómo inicia sesión, cómo se protegen los datos en tránsito y en reposo, cómo nuestro propio personal de soporte puede (y no puede) acceder a su espacio de trabajo, cómo puede auditar lo que ocurrió en su cuenta, las salvaguardas operativas en torno al costo y la automatización, nuestras pruebas de seguridad más recientes, cómo reportar una vulnerabilidad y dónde se alojan sus datos.

Aislamiento de inquilinos

Los datos específicos de cada espacio de trabajo están protegidos por la seguridad a nivel de fila (row-level security, RLS) de Postgres, aplicada por la propia base de datos: cada consulta se filtra para devolver únicamente los datos del espacio de trabajo del solicitante, ya desde la capa de datos, no solo mediante la lógica de la aplicación. La capa de aplicación agrega una segunda verificación, en profundidad, que revalida la pertenencia al espacio de trabajo antes de servir o modificar sus datos. Dos capas independientes deben coincidir antes de que los datos puedan devolverse alguna vez de un espacio de trabajo a otro.

Autenticación

El inicio de sesión no requiere contraseña: usted recibe un enlace mágico o un código de un solo uso de 6 dígitos por correo electrónico. No almacenamos contraseñas de cuenta, por lo que no existe una base de datos de contraseñas que pueda ser vulnerada. Los intentos de inicio de sesión y verificación de código están protegidos por limitación de velocidad basada en la dirección IP, lo que ralentiza los intentos automatizados de adivinación o abuso.

Cifrado

In transit. All traffic to and from the Service is encrypted using TLS.
At rest. Data at rest is protected with 256-bit encryption by our infrastructure providers (Supabase for the database, Vercel for application hosting).
Payments. Payments secured by Stripe. No card data stored on our servers.

Acceso de soporte

Nuestro propio personal de soporte y de la plataforma no puede navegar por su espacio de trabajo sin que usted lo note. Cada sesión de acceso de soporte está sujeta a consentimiento: un administrador de la plataforma solicita el acceso y un propietario o administrador del espacio de trabajo debe aprobarlo con un código de un solo uso, o bien su propio espacio de trabajo solicita soporte de forma proactiva, lo que en sí mismo cuenta como consentimiento; no existe ninguna ruta de código que otorgue acceso sin un consentimiento registrado.

Cada sesión otorgada está limitada en el tiempo a la duración aprobada (de 15 minutos hasta 8 horas) y es de solo lectura: las solicitudes de modificación se bloquean de forma centralizada durante toda la sesión, y se muestra un aviso persistente y no descartable en cada página mientras la sesión está activa, con una salida de un solo clic. Cada paso del ciclo de vida —solicitado, otorgado (o rechazado), iniciado y detenido— se registra en el registro de auditoría de su espacio de trabajo.

Registro de auditoría

Cada espacio de trabajo mantiene un registro de auditoría de solo adición que cubre cambios de configuración, eventos de facturación, cambios de miembros y roles, cambios de estado de recomendaciones y alertas, y eventos de acceso de soporte. Las entradas nunca se editan ni se eliminan por diseño. Los propietarios y administradores del espacio de trabajo pueden exportar el registro de auditoría completo como archivo CSV en cualquier momento desde Configuración → Auditoría.

Controles operativos

Límites de plan y topes de costo. Cada ejecución de investigación se verifica contra los límites de su plan —unidades de investigación, tamaño del catálogo, minoristas, horarios y miembros del equipo— antes de que comience cualquier trabajo, de modo que un espacio de trabajo nunca puede excederse silenciosamente. Las sesiones de investigación individuales también tienen su propio tope de costo por ejecución.
Integridad de los webhooks. Los webhooks entrantes (de nuestro procesador de pagos, nuestro proveedor de IA y Slack) se verifican criptográficamente por firma antes de que actuemos sobre ellos.
Procesamiento idempotente. La reentrega del mismo webhook o evento programado se maneja de forma idempotente: se reconoce y se omite en lugar de aplicarse una segunda vez.

Pruebas de seguridad y postura de cumplimiento

Prueba de penetración interna (2026-07-01).

Completamos una prueba de penetración interna de caja blanca que cubrió cada ruta de API, acción de servidor y página; el inicio de sesión sin contraseña y el cambio de espacio de trabajo; el manejo de claves aportadas por el cliente (BYO-key), tokens de Slack y tokens de conectores de comercio; la verificación de firma de webhooks en cada proveedor; OAuth; el servidor MCP y la API pública; la autenticación de tareas programadas (cron); cada política de seguridad a nivel de fila; la aplicación de los límites de plan; y nuestra cadena de suministro de dependencias y secretos. Cada hallazgo fue reverificado de forma adversarial contra la aplicación en funcionamiento —no simplemente afirmado— antes de contabilizarse.

Resultado: cero hallazgos críticos. De los hallazgos identificados, el único hallazgo de gravedad alta y tres de los cinco hallazgos de gravedad media se corrigieron en la misma rama, cada uno respaldado por una prueba de regresión, antes de cerrar esta evaluación; los dos hallazgos medios restantes y un hallazgo informativo se aceptaron como riesgo de gravedad menor y se registraron en nuestro backlog v1.x. El aislamiento de inquilinos (seguridad a nivel de fila, uso del rol de servicio, autorización a nivel de objeto), el manejo de secretos, la verificación de webhooks y el perímetro de autenticación resultaron sólidos.

Postura de cumplimiento.

Current status: SOC 2 compliant · not yet certified. We have not completed independent third-party certification of these controls. All plans include full audit logs (§6).

Divulgación responsable

Si cree haber encontrado una vulnerabilidad de seguridad en el Servicio, repórtela de manera responsable en lugar de explotarla o divulgarla públicamente. Nuestro contacto y política de divulgación se publican en /.well-known/security.txt (RFC 9116), o puede escribir directamente a privacy@agnotiq.com. Confirmaremos la recepción de los reportes y trabajaremos con usted en la corrección y el momento adecuado antes de cualquier divulgación pública.

Residencia de los datos

El Servicio y sus datos se alojan hoy en los Estados Unidos, a través de la región estadounidense de nuestros proveedores de infraestructura (Supabase y Vercel ejecutan nuestra pila de producción en AWS us-east-1). Actualmente no ofrecemos opción de región de alojamiento. La residencia de datos por región está en nuestra hoja de ruta de producto; no está disponible hoy.