Separación por organización
Cada oficina tiene su espacio. La autorización se aplica en el servidor; la interfaz no es la única barrera.
Los repositorios y servicios están acotados por organización y las pruebas cubren el aislamiento entre tenants.
Seguridad y confianza
La seguridad empieza por no perder el original.
DocuCentral está diseñado para que cada documento tenga un sitio, cada acceso tenga un límite y cada acción importante deje un rastro. Sin convertir la seguridad en una promesa vacía.
Seis controles que sí podemos explicar.
Originales inmutables
El binario original no se reescribe. Una corrección o sustitución crea una versión nueva.
Cada versión conserva su fecha, origen y estado. La versión aceptada pasa a ser la canónica.
Accesos temporales
Las solicitudes y entregas públicas son credenciales con caducidad, no carpetas permanentes.
Los enlaces se pueden revocar y regenerar. El acceso a una entrega puede exigir verificación OTP según el flujo.
Auditoría operativa
Las acciones importantes dejan un registro para saber qué ocurrió y quién lo hizo.
Revisiones, correcciones, entregas, aperturas y descargas quedan asociadas al expediente cuando el flujo lo permite.
Integridad verificable
Los binarios se identifican con SHA-256 y la exportación incluye un manifiesto de hashes.
La exportación de un expediente incluye índice CSV, metadatos JSON y SHA256SUMS para comprobar lo descargado.
Retención y conservación
La plataforma contempla legal holds y conservación documental; la política concreta se pacta con la oficina.
La retención y el borrado definitivo son procesos sensibles: se documentan y se ejecutan con control, no con un botón irreversible.
Seguridad técnica
Control de acceso, no solo una pantalla bonita.
- Autenticación y sesiones gestionadas en el servidor.
- Permisos por organización y por rol dentro del flujo.
- Almacenamiento de objetos privado, sin credenciales en el cliente.
- Enlaces de solicitud y entrega con caducidad y revocación.
- Verificación OTP en los flujos que lo requieren.
- Registro de acciones y descargas importantes.
Cumplimiento y certificaciones
Lo que podemos afirmar y lo que no.
Podemos afirmar
Que el producto implementa controles técnicos de aislamiento, versiones inmutables, accesos temporales, auditoría y exportación con hashes. Que la política de privacidad está publicada como borrador y que el tratamiento se formaliza en el contrato.
No afirmamos
Certificaciones ISO 27001, SOC 2 o ENS que no estén evidenciadas; un SLA 24/7 que no esté contratado; un RTO medido en producción; ni que una entrega registrada sea una certificación legal de entrega. Tampoco hay MFA general para usuarios de despacho ni SSO/SAML.
Si la seguridad es una prioridad, hablemos con detalle.
Podemos revisar el modelo de acceso, la exportación, la retención y el contrato de tratamiento antes de la implantación.