Cómo manejamos tus datos, la AI que desplegamos y los proveedores intermedios.

01 · Postura actual

AntlerWing sigue las familias de control que mapean a SOC 2, NIST AI RMF y las expectativas de seguridad de las plataformas en las que somos partner de entrega certificado (monday.com Advanced Delivery, Make.com Silver). No tenemos hoy una atestación SOC 2 Type II ni un certificado ISO 27001. La certificación formal está en el roadmap y se perseguirá cuando la mezcla de proyectos y la base de clientes lo requieran. No vamos a fingir que una postura de control es una certificación.

Cuando un engagement con un cliente requiere controles más allá de nuestra postura por defecto (HIPAA, FedRAMP adyacente, evidencia SOC 2 durante diligencia), los metemos en el SOW y los cumplimos por proyecto.

03 · AI safety en la entrega

La AI que desplegamos en entornos de cliente tiene que fallar de forma segura. Lo que entregamos por defecto:

• Sin acciones agénticas en el día uno. La AI que desplegamos arranca solo en modo borrador. Promoción a "el agente toma la acción" es un paso deliberado que requiere dueño, scope de autorización escrito y traza de auditoría.
• Revisión de output para acciones consecuentes. Cualquier cosa que toque un registro de cliente, una cantidad en dólares, un trámite legal o una comunicación externa pasa por un paso de revisión humana hasta que el cliente explícitamente se sale de esa revisión y acepta el riesgo residual.
• Logging de prompts y outputs. Cada invocación de AI en un build que entregamos se loguea con input, output, modelo y timestamp. El cliente es dueño del log. No retenemos copia fuera del engagement.
• Diligencia de proveedor antes de integrar. Ningún proveedor de AI entra a un flujo de cliente hasta que leemos su DPA real, su política de entrenamiento y retención y (cuando aplica) su página de postura de seguridad. El pack de diligencia es un entregable.
• Honestos con los límites del modelo. Si un caso de uso no es seguro con la confiabilidad actual del modelo, lo decimos y declinamos entregarlo. La frase "ya veremos los edge cases después" no es cómo falla la AI de forma responsable.

05 · Acceso e identidad

• SSO + MFA obligatorios en cada sistema que los operadores de AntlerWing usan para conectar a entornos de cliente. Sin contraseñas compartidas. Sin excepciones.
• Cuentas nombradas en cada entorno de cliente, no service accounts compartidas, para que cada acción sea atribuible a un individuo.
• Revisión de acceso al cierre del engagement. Dentro de cinco días hábiles del cierre, el acceso de AntlerWing se remueve o se mueve a un scope documentado de socio operativo.
• Background checks en cada operador antes de tocar sistemas de producción del cliente. Documentado por engagement bajo solicitud.

07 · Divulgación de vulnerabilidades

Damos la bienvenida a reportes de issues de seguridad que afecten el sitio web de AntlerWing, nuestros sistemas de cara al público o las integraciones que entregamos a clientes (cuando tienes autorización para probar).

• Reporta a security@antlerwing.com con pasos de reproducción y tu evaluación de severidad.
• Acusaremos recibo en dos días hábiles.
• El reporte de buena fe es bienvenido y protegido. No perseguiremos acción legal contra investigadores que actúen de buena fe dentro de las normas estándar de divulgación responsable.
• Fuera de alcance: ingeniería social a empleados de AntlerWing, pruebas de seguridad física, denial-of-service.