Certificaciones y controles
Lo que está certificado,
y lo que está construido.
No son lo mismo y aquí van separados. Hoy LexLens no tiene ninguna certificación obtenida. Lo que sí tiene es un inventario de controles en funcionamiento. El detalle se entrega por escrito a quien lo solicite para su evaluación de proveedores.
Marcos y certificaciones
Ninguna certificación obtenida todavía.
La columna que importa es la tercera.
- No iniciada sin auditoría en curso ni fecha comprometida; la nota de abajo explica el detalle.
- En preparación la adecuación ya empezó; no es una certificación, es una norma que se cumple o no.
| Marco | Sobre qué | Situación* |
|---|---|---|
| ISO/IEC 27001 | Sistema de gestión de la seguridad de la información | No iniciada |
| ISO/IEC 42001 | Sistema de gestión de inteligencia artificial. Es la que corresponde a un producto que emite juicio asistido por un modelo | No iniciada |
| SOC 2 Type II | Informe de auditoría sobre la operación de los controles a lo largo de un período, no en un día | No iniciada |
| GDPR | Reglamento europeo de protección de datos. Aplica si el estudio trata datos de personas en la Unión Europea | No iniciada |
| Ley 21.719 | Protección de datos personales, Chile. Regirá desde el 1 de diciembre de 2026, según lo previsto, y no se certifica | En preparación |
* Qué significa «No iniciada», con todas sus letras. Que hoy ninguno de estos marcos está certificado ni auditado por un tercero. No hay certificado que enseñar, no hay auditoría en curso con fecha comprometida y no hay informe de un auditor externo. Lo decimos así porque en este mercado la ambigüedad se usa para dar a entender lo contrario.
Dos precisiones más, por la misma razón: GDPR y la Ley 21.719 no son certificaciones, son normas que se cumplen o no y no existe un sello que obtener; y SOC 2 Type II mide un período, así que ni siquiera puede empezar antes de que los controles lleven meses operando con evidencia registrada.
Si tu comité necesita hoy una respuesta firmada, lo que hay es esto: el inventario de abajo, la página de seguridad y cumplimiento con el cuestionario de proveedores respondido, y la disposición a que lo verifiquen. Un cuestionario contestado con evidencia vale más que un sello que no tenemos, y es lo único que podemos ofrecer sin faltar a la verdad.
Controles
Lo que sí está construido y funcionando.
Controles en funcionamiento. Cada fila tiene respaldo documental, que se exhibe bajo confidencialidad durante una evaluación.
- En uso implementado y en funcionamiento.
Acceso e identidad
| Control | Qué hace | Estado |
|---|---|---|
| Contraseñas | Se protegen con una derivación lenta y con sal, calibrada para resistir intentos masivos sin penalizar el uso normal. La contraseña nunca se guarda ni se puede recuperar | En uso |
| Contraseñas predecibles | Largo mínimo y cotejo contra las contraseñas más comunes y predecibles | En uso |
| Comparación en tiempo constante | Acertar una letra tarda lo mismo que acertar treinta, y un usuario que no existe tarda lo mismo que uno que sí: probando no se averigua quién tiene cuenta | En uso |
| Segundo factor | Código temporal de un solo uso, con códigos de recuperación guardados de forma que no se pueden leer directamente, disponible para todas las cuentas | En uso |
| Bloqueo por intentos | Un número limitado de intentos fallidos bloquea la cuenta de forma temporal; el bloqueo sobrevive al reinicio del servicio | En uso |
| Cuentas nominales | No hay registro abierto: cada cuenta se crea a nombre de una persona, y cada acción del registro es atribuible | En uso |
| Control de acceso por rol | Tres roles: administración, abogado y solo lectura. Sin rol válido no se entra | En uso |
| Sesiones | Identificador opaco sin datos dentro, revocable desde el servidor, que caduca por tiempo y por inactividad. No queda guardado en claro en ningún archivo | En uso |
| Falla cerrado | Sin un sistema de cuentas válido no entra nadie, en vez de dejar pasar a todos por defecto | En uso |
El documento del cliente
| Control | Qué hace | Estado |
|---|---|---|
| Sin instrucción, el documento no se conserva | Si tu organización no instruye su custodia, el contrato se procesa de forma transitoria y LexLens no guarda copia del archivo. El texto de trabajo dura como máximo una hora en memoria y luego se descarta | En uso |
| Solo se conserva la huella | De un documento vigilado quedan su título, el nombre del archivo, la contraparte, las anclas, los números y las fechas, no su texto. Es lo que permite vigilar una cartera sin custodiar los contratos del cliente | En uso |
| Protección de los metadatos del cliente | Los metadatos del cliente están protegidos por control de acceso, y esa protección se verifica automáticamente | En uso |
| Techo de subida | 15 MB por documento, y solo PDF, DOCX o texto | En uso |
Transporte y navegador
| Control | Qué hace | Estado |
|---|---|---|
| Política de contenido estricta | El navegador solo ejecuta los scripts del propio servicio: uno inyectado por un tercero no se ejecuta | En uso |
| Cabeceras de seguridad | No adivinar tipos de archivo, no dejarse incrustar en otra página, no filtrar la dirección de origen, aislamiento de ventana y de recursos, y permisos del navegador denegados por defecto | En uso |
| Compuerta de origen | Una petición que dice venir de otro sitio se rechaza | En uso |
| Cookie de sesión | No la puede leer el JavaScript de la página, no viaja a otros sitios y, cuando la conexión es cifrada (https), solo se envía por ella | En uso |
| Cifrado en tránsito | Toda conexión con el servicio viaja cifrada con HTTPS y certificado válido | En uso |
Registro, respaldo e integridad
| Control | Qué hace | Estado |
|---|---|---|
| Registro de acceso sin contenido | De cada acceso con sesión se anota quién, qué ruta, cuándo, con qué código y cuánto tardó; las peticiones sin sesión se cuentan por minuto, sin ruta. Por diseño no puede colarse el texto del documento ni el nombre del archivo: los campos permitidos son una lista blanca, y lo que no está en ella no se escribe. Tampoco la cookie ni la contraseña | En uso |
| Retención del registro | 180 días, y se borra por antigüedad, no cuando el archivo molesta. Sus copias en el respaldo cifrado se conservan hasta 12 meses después | En uso |
| Respaldo cifrado externo | Automático y cifrado antes de salir. El respaldo no se da por hecho leyendo un código de salida: se comprueba que la copia existe y es posterior a la corrida | En uso |
| Verificación por restauración real | Las copias del corpus y de todas las carteras de cliente se extraen del respaldo y se comprueba que abren íntegras | En uso |
| Sellado del corpus | Cada versión del corpus se publica con su huella y su fecha, y su integridad se verifica automáticamente | En uso |
| Revisión automática | Decenas de comprobaciones periódicas de la operación, con constancia escrita de cada resultado | En uso |
Código y dependencias
| Control | Qué hace | Estado |
|---|---|---|
| Secretos fuera del código | Las credenciales viven fuera del código y del repositorio, y nunca llegan al navegador: todas las llamadas al modelo las hace el servidor | En uso |
| Búsqueda de credenciales filtradas | Los cambios del código se revisan en busca de claves que se hayan colado | En uso |
| Control de licencias | Una dependencia con licencia AGPL o SSPL obligaría a publicar el código del producto entero, y el control la bloquea | En uso |
| Auditoría de vulnerabilidades | Las dependencias se cotejan contra las vulnerabilidades publicadas | En uso |
| Sin terceros en el camino del documento | Las páginas no cargan analítica, telemetría ni recursos de terceros, y el texto de un documento solo sale hacia un único destino: el modelo de lenguaje. Ninguna petición de un usuario dispara una descarga de normativa | En uso |
Si una fila de esta página cambia, cambiará porque se hizo el trabajo, no porque se reescribió la frase.
Y además
Las otras dos páginas que un comité pide.
Seguridad y cumplimiento
El cuestionario de proveedores respondido de antemano: dónde están los datos, quién los ve, qué pasa ante una brecha y qué pasa si LexLens desaparece.
Privacidad y datos
Qué datos se tratan, con qué finalidad, por cuánto tiempo, quién más interviene y cómo se ejercen los derechos del titular.
Enviar un cuestionario
Si tu estudio tiene su propio cuestionario de seguridad, la vía de seguridad de la página de contacto es donde llega.