1. Alcance y modelo del servicio
Phaseo ofrece un directorio público de modelos de IA, un panel para clientes y una pasarela de API que reenvía solicitudes a proveedores externos de IA. Este documento cubre la aplicación, la pasarela, los almacenes de datos y las integraciones operativas controlados por Phaseo. No acredita los controles de un proveedor de IA ni de un destino configurado por el cliente.
El sitio público funciona como una aplicación Next.js alojada en Vercel y distribuida detrás de Cloudflare. La pasarela se ejecuta en Cloudflare Workers. Supabase proporciona la autenticación y la base de datos relacional principal. Los demás servicios aparecen en el listado de subencargados del tratamiento.
2. Flujo de datos de la pasarela
| Etapa | Datos | Tratamiento |
|---|---|---|
| Cliente a Phaseo | Contenido de la solicitud, credenciales, opciones de enrutamiento y metadatos de red | Se envían por HTTPS a Cloudflare y los procesa Gateway Worker. |
| Metadatos de Phaseo | ID de solicitud, IDs de modelo y proveedor, uso, coste, latencia, estado, errores y ubicación aproximada | Se almacenan en Supabase para facturación, vistas de uso, fiabilidad, prevención de abusos y asistencia. Los prompts sin procesar y las respuestas completas se excluyen del registro principal de solicitudes. |
| Caché de respuestas | Clave de caché por espacio de trabajo, cuerpo de respuesta y metadatos de respuesta | Las respuestas de texto aptas que no usan streaming pueden guardarse en Upstash Redis durante cinco minutos por defecto. Un preajuste puede establecer entre 30 segundos y 24 horas. El cuerpo de la solicitud contribuye al resumen de la clave de caché SHA-256, pero no se guarda en el registro almacenado en caché. |
| Proveedor de IA | Contenido de la solicitud y metadatos necesarios para la llamada al modelo seleccionado | Se envían por HTTPS al proveedor elegido directamente o mediante la política de enrutamiento del cliente. Se aplican las condiciones de retención, entrenamiento y residencia del proveedor. |
| Respuesta al cliente | Respuesta del proveedor y metadatos de Phaseo | Se devuelve al cliente por HTTPS. Los datos transmitidos mediante streaming se procesan en memoria mientras la conexión está activa. |
3. Opciones de almacenamiento de contenido y excepciones
Phaseo no afirma que exista una retención cero de datos universal. Además de la caché de respuestas de corta duración, las siguientes opciones del cliente pueden prolongar el almacenamiento del contenido:
- Registro privado de entradas y salidas (I/O): Un ajuste del espacio de trabajo, disponible solo si la función está habilitada, puede guardar solicitudes, respuestas y cargas opcionales del proveedor en Cloudflare R2 privado durante 90, 180 o 365 días. Está desactivado por defecto.
- Contribución de datos: Una aceptación explícita puede capturar prompts y respuestas satisfactorios que no usen BYOK en Cloudflare R2 privado durante un máximo de 30 días. Phaseo aplica una redacción de buena fe, pero los clientes no deben considerarla una garantía. Una muestra configurada se envía a OpenAI, con el almacenamiento de API desactivado, para clasificar tareas de forma asíncrona.
- Exportaciones de observabilidad y notificaciones: Los destinos configurados por el cliente pueden recibir prompts, respuestas, metadatos o contenido de alertas según sus ajustes.
- API asíncronas y multimedia: Los proveedores pueden conservar el estado de trabajos, archivos, entradas o recursos generados durante los periodos que documenten. Phaseo guarda los metadatos de trabajo y facturación necesarios para conciliar esas solicitudes.
Al desactivar una función de almacenamiento de Phaseo se detienen las nuevas capturas una vez propagado el cambio y finalizado el trabajo en curso. No se eliminan los datos que ya haya recibido un proveedor de IA o un destino configurado por el cliente.
4. Controles técnicos actuales
Transporte y secretos
- El servicio público y las conexiones con proveedores ascendentes usan HTTPS.
- Las credenciales de proveedor aportadas por el cliente se cifran con AES-256-GCM antes de guardarse en la base de datos.
- Las claves de API y administración usan una derivación unidireccional con clave; los secretos de OAuth usan una derivación unidireccional basada en contraseña o clave.
- Las credenciales de webhooks y notificaciones se almacenan cifradas cuando la función admite secretos guardados.
Identidad y acceso
- Los roles del espacio de trabajo y las políticas de la base de datos restringen los registros de cuentas y espacios de trabajo.
- Las pantallas de consentimiento de OAuth muestran los permisos solicitados; se pueden revocar las autorizaciones y los tokens.
- El inicio de sesión único SAML y el aprovisionamiento SCIM son funciones empresariales sujetas a habilitación, no controles universales.
- Las claves de administración y de la pasarela se pueden limitar por alcance y rotar.
Protecciones de la aplicación
- Los límites de frecuencia protegen las rutas sensibles de OAuth y tiempo real.
- Las cabeceras de seguridad restringen el tipo de contenido, los marcos, los referentes y los permisos; la ruta de consentimiento de OAuth tiene una política de seguridad de contenido más estricta.
- Se valida la estructura de los datos en los límites de la API y la configuración.
- Las operaciones de facturación usan idempotencia y transacciones de base de datos en las rutas sensibles a la seguridad.
- La eliminación verificada de una cuenta borra de forma permanente la cuenta de Auth y los datos activos de la base de datos; después, una tarea programada reintentable purga los datos de R2 privado y Gateway KV en un plazo de 30 días.
Supervisión y divulgación
- Los registros de invocaciones de Cloudflare y los metadatos de solicitudes permiten la supervisión operativa.
- El estado de los proveedores y del enrutamiento ayuda a contener los fallos ascendentes.
- El estado del servicio y los incidentes se publican en status.phaseo.app.
- Se aceptan informes privados de vulnerabilidades mediante GitHub Security Advisories o security@phaseo.app.
5. Software y gestión de cambios
El repositorio principal de Phaseo es público. Los cambios usan control de versiones, archivos de bloqueo de dependencias, análisis de código y comprobaciones de tipos automatizados, además de pruebas automatizadas específicas. Las validaciones de seguridad cubren determinados límites de secretos, políticas de bases de datos, flujos de autenticación y contratos de la pasarela.
Estas prácticas reducen riesgos, pero no demuestran que todos los cambios reciban una revisión formal de seguridad ni que el servicio esté libre de vulnerabilidades. Phaseo no publica actualmente una certificación de desarrollo seguro ni un control de gestión de cambios auditado de forma independiente.
6. Disponibilidad y gestión de incidentes
Phaseo usa infraestructura gestionada y enrutamiento basado en el estado de los proveedores para limitar algunos fallos. incident.io aloja la página pública de estado. Phaseo no ofrece un SLA contractual de disponibilidad para el servicio público ni afirma que sus procesos de respuesta a incidentes o continuidad del negocio se hayan probado de forma independiente.
Los incidentes de seguridad que implican datos personales se evalúan según las obligaciones de notificación aplicables. La política pública de vulnerabilidades se propone confirmar la recepción de informes de buena fe en un plazo de tres días laborables; es un objetivo operativo, no un plazo contractual de resolución.
7. Responsabilidades del cliente
- No envíes datos sensibles o regulados salvo que la configuración elegida de Phaseo y del proveedor de IA sea adecuada para esos datos.
- Revisa las condiciones de retención, entrenamiento, residencia y uso aceptable del proveedor antes de habilitar una ruta.
- Usa listas de proveedores permitidos y controles de enrutamiento privado cuando importe la selección de ruta.
- Protege y rota las credenciales de cuenta, API, administración, BYOK, webhooks y OAuth.
- Limita la pertenencia al espacio de trabajo y los permisos de OAuth a lo que cada persona o aplicación necesite.
- Revisa los ajustes de registro privado de I/O, contribución de datos, caché de respuestas, observabilidad y notificaciones antes de usar el servicio en producción.
8. Lagunas de garantía conocidas
- No se afirma que Phaseo tenga certificaciones SOC 2, ISO 27001, PCI DSS, HIPAA o equivalentes.
- No se afirma que se haya completado una prueba de penetración independiente ni publicado un informe de auditoría.
- No existe una garantía universal de retención cero de datos ni de que ningún proveedor los use para entrenar.
- No existe una garantía de residencia regional de extremo a extremo para todas las rutas.
- Aún no se han reunido en un único calendario público los periodos generales de conservación de todas las categorías de cuentas, metadatos, copias de seguridad, asistencia y registros operativos.
9. Contacto
Envía los informes de seguridad a security@phaseo.app. Envía las consultas sobre privacidad, DPA y subencargados a privacy@phaseo.app.