Seguridad y datos
Esta página indica qué conserva xEvolve por ti y dónde. No es una certificación. xEvolve no declara SOC 2 ni una atestación similar.
Qué se guarda
- Los archivos que subes o transfieres en tu Environment, en Cloudflare R2.
- Las credenciales de conexión, cifradas con AES-GCM, y las claves privadas PGP, cifradas en reposo.
- Usuarios, roles, conexiones, programaciones, workflows y registro de actividad, en tu propio esquema de la base de datos Postgres de la UE compartida.
- Las claves de API, solo como hash SHA-256.
Los archivos que mueves entre dos de tus conexiones van al destino que elegiste.
Dónde está
La base de datos es Supabase en París. Los archivos están en Cloudflare R2 en Europa occidental. El registro directo es solo para la UE en todos los planes, así que no hay región que elegir. Los espacios comprados a través de Azure Marketplace se guardan en la región de Azure que elige el comprador: Europa del Norte, Europa occidental o una región de EE. UU. La lista completa de subencargados está en spot-suite.com.
Protección
- Los archivos en reposo usan AES-256. El tráfico del navegador y de la API usa TLS 1.2 o posterior. FTPS usa TLS y SFTP usa SSH.
- Cada Environment tiene su propio esquema de base de datos. Los archivos y las entradas de auditoría están limitados a tu inquilino.
- Cada subida se comprueba para detectar tipos de archivo peligrosos y su hash se consulta en VirusTotal. Las subidas bloqueadas se registran.
- Las direcciones de webhook y SMTP deben ser hosts HTTPS o SMTP públicos, no redes privadas.
Registro de auditoría
Los inicios de sesión, subidas, descargas, comparticiones, cambios en salas de datos, cambios en claves de API y ejecuciones de retención se registran con el usuario, la IP del cliente y una marca de tiempo UTC. Los admins leen el registro en Admin. Las entradas de auditoría nunca se eliminan automáticamente.
Retención
Los archivos eliminados se borran primero de forma reversible y se eliminan de forma permanente tras 30 días, salvo bloqueo legal. Los planes Team y superiores pueden fijar un periodo de retención; los admins revisan y ejecutan la limpieza desde una sesión de consola. El bloqueo legal requiere Business o MSP.