Sus carpetas son de sus clientes. Y así se tratan.

Lo que hoy sostiene el sistema

Cada punto de esta lista corresponde a algo que está construido y probado, no a una intención. Donde hay un límite, está dicho en la línea de abajo.

Su carpeta no se cruza con la de otro estudio

Cada tabla que guarda datos de un estudio lleva su identificador, y toda consulta pasa por una capa que lo aplica antes de tocar la base. No es una convención: una regla de análisis estático impide consultar esas tablas desde cualquier otro lugar del código, y el proyecto no compila si alguien la saltea.

Además hay una prueba de aislamiento por cada una de esas tablas, y una prueba de cobertura que falla si se agrega una tabla nueva sin la suya. Es la parte del sistema en la que más trabajo hay puesto, porque es la que no puede fallar una sola vez.

Es aislamiento aplicado por la aplicación, no por la base de datos. La separación a nivel de motor —RLS de PostgreSQL— está planificada y todavía no está.

Cada acción queda escrita, y sin ella no hay acción

Quién cargó un documento, quién confirmó un campo, quién resolvió un conflicto y cuándo: todo eso se guarda en el historial de la carpeta, con el valor anterior y el nuevo.

La constancia se escribe dentro de la misma transacción que la modificación. Si por cualquier motivo no se puede dejar registro, la operación entera se deshace. No hay forma de que ocurra un cambio del que no quede rastro.

El historial no es todavía una cadena a prueba de manipulación: las columnas de encadenamiento por hash están previstas y sin usar. Un administrador de la base con acceso directo podría alterarlo.

El tráfico va cifrado y el navegador lo exige

Todas las respuestas del sitio y de la aplicación llevan HSTS con un año de vigencia, X-Frame-Options: DENY, protección contra adivinanza de tipo de contenido y una política de seguridad de contenido que no admite evaluación dinámica de código.

Los enlaces de descarga de sus documentos se firman por unos minutos y contra su estudio: un enlace de otra escribanía no se firma aunque se conozca la ruta.

Los respaldos salen cifrados por nosotros

Los respaldos de la base se cifran con AES-256-GCM antes de subirse, con una clave que no vive en el mismo lugar que los datos. Si la clave no está configurada, el respaldo no corre: preferimos un respaldo que falla y avisa a un respaldo sin cifrar que nadie mira.

Borrar es borrar, con una red de treinta días

Una carpeta eliminada va a la papelera y se puede recuperar durante treinta días. Después se purga de verdad: la fila de la base y también los archivos del almacenamiento, no sólo la referencia. La eliminación queda registrada en el historial.

El cierre completo de una cuenta con borrado de todo el estudio de una sola vez todavía se hace a pedido y a mano; no hay un botón que lo haga.

Lo que todavía no le podemos garantizar

Publicar esto es incómodo y probablemente cueste alguna venta. Cuesta menos que descubrirlo después.

El compromiso de no entrenamiento, firmado

Los documentos se procesan con modelos de lenguaje de Anthropic a través de su interfaz de programación. Lo que todavía no podemos mostrarle es el acuerdo de tratamiento de datos y la cláusula de retención cero firmados a nombre de NotaryData. Están en trámite.

Hasta que existan y se puedan publicar en esta página, no vamos a afirmar acá que sus documentos no se usan para entrenar modelos, aunque sea exactamente la condición que estamos contratando. Es la clase de frase que no se dice dos veces en este gremio, así que preferimos decirla una sola y cuando sea verificable.

Dónde están físicamente los datos

La aplicación y los documentos viven en infraestructura de terceros fuera del Uruguay. El almacenamiento está configurado sin región fija, de modo que hoy no podemos comprometer una jurisdicción determinada. Cualquiera que le prometa residencia de datos sin decirle el proveedor y la región le está prometiendo algo que no controla.

El cifrado en reposo como mérito propio

Los documentos se guardan en un almacenamiento de objetos que cifra su contenido del lado del servidor. Eso es una garantía del proveedor, no una capa que NotaryData agregue: hoy no hay cifrado de aplicación sobre los archivos. Lo decimos así porque la diferencia importa — es la diferencia entre «nadie más que usted puede leerlo» y «el proveedor lo guarda cifrado».

El aviso de privacidad publicado

Todavía no está en línea. Mientras no lo esté, cada formulario del sitio describe en una línea qué se hace con el dato que pide, para qué se usa y cómo pedir que se borre. Es menos que un aviso completo, y es lo que se puede sostener hoy.

Cuando cualquiera de estos cuatro puntos cambie, va a cambiar en esta página antes que en ningún otro lado, y con el documento a la vista. Quién está detrás de esa promesa.