Seguridad

• Cada dato está atado a la inmobiliaria a la que pertenece, y la base de datos filtra cada lectura y escritura de la consola con políticas de seguridad a nivel de fila (RLS): una persona solo ve las filas de las inmobiliarias de las que es miembro.
• El agente identifica a la inmobiliaria por el número al que escribió el cliente, verificado con la firma de Twilio, y cada consulta que hace queda acotada a esa inmobiliaria.
• En cada cambio al código, pruebas automáticas verifican que una inmobiliaria no pueda ver los datos de otra.
• El equipo de Tango ve un directorio de inmobiliarias (nombre, email del dueño, línea y estado del alta) para darlas de alta, no sus conversaciones, clientes ni catálogo. Si la inmobiliaria lo pide al darse de alta, una persona de Tango se suma como admin de soporte: aparece en el equipo y la inmobiliaria la puede quitar cuando quiera.

• Cuatro roles: dueño, admin, agente y lectura. Dueños y admins gestionan el equipo, el catálogo y la configuración; los agentes atienden conversaciones; lectura solo mira.
• Cada permiso se controla en tres capas que aplican la misma regla: la base de datos, el servidor y la interfaz.
• Al equipo se entra solo por invitación —de un dueño o admin, o la de alta que Tango le manda al dueño—, y el email se verifica antes de dar acceso.
• Se ingresa con email y contraseña o con Google. Las contraseñas las guarda el proveedor de autenticación con hash: nosotros no las guardamos.
• La consola trabaja siempre con la sesión de la persona: no tiene ninguna credencial capaz de saltear los permisos de la base de datos.

• Todo el tráfico viaja cifrado con TLS: entre tu navegador y la consola, entre nuestros servicios y con cada proveedor.
• La base de datos y las fotos se guardan cifradas en reposo por nuestros proveedores de infraestructura.
• El token de acceso de WhatsApp (Twilio) de cada inmobiliaria se cifra con una clave pública apenas se carga, y solo el agente puede abrirlo. El cifrado queda atado a la inmobiliaria: copiado a otra, no sirve.
• Los secretos de producción viven solo en los entornos de producción de cada proveedor, no en computadoras personales.

• Cada mensaje entrante se verifica con la firma de Twilio antes de procesarse, con un límite de pedidos por remitente; un mensaje repetido no se procesa dos veces.
• El agente solo puede leer el catálogo, nunca modificarlo, y tiene la instrucción de hablar solo de propiedades que devolvió una búsqueda en esa conversación.
• Cuando una persona del equipo toma una conversación, el agente deja de responder: la base de datos garantiza que los dos no contesten a la vez.
• Por WhatsApp, una oferta de visita la toma solo el miembro al que se le mandó, desde su WhatsApp verificado y en la línea de su inmobiliaria; desde la consola, un miembro con su sesión y su rol. El número se verifica mandando desde él un código que la consola le muestra solo a ese miembro, y una oferta reenviada y tocada desde otro teléfono no la toma nadie.
• Si algo falla en un turno, el cliente recibe una respuesta segura en vez de quedar en silencio, y se avisa a los contactos de derivación de la inmobiliaria.
• Las respuestas las genera un modelo de Anthropic por su API comercial, que no usa esos datos para entrenar.

• Los registros técnicos están pensados para no guardar el contenido de los mensajes ni datos de los clientes: los teléfonos se enmascaran y los errores se anotan por tipo y código.
• En el agente, los errores de la base de datos se registran por código, sin el detalle que podría arrastrar una fila con datos.

• La base de datos está alojada en São Paulo (Brasil). La lista completa de proveedores está en la Política de privacidad.
• Desarrollo y producción son entornos separados, con bases y credenciales distintas. La excepción son las fotos de propiedades, que se entregan por una URL pública imposible de adivinar: están en una misma cuenta de Cloudinary, en carpetas separadas por entorno, y la clave de cada entorno alcanza a toda la cuenta. Las pruebas corren contra bases locales, nunca contra datos reales.
• Ningún cambio llega a producción de forma directa: pasa por pull request, pruebas automáticas y el entorno de desarrollo, y lo libera una persona.
• Dependencias fijadas por versión y por hash, escaneo de secretos en cada cambio y permisos mínimos en cada paso del despliegue.
• Los permisos de la base se verifican automáticamente: ninguna tabla queda expuesta sin seguridad a nivel de fila.

Si detectamos un incidente que afecte datos personales, lo contenemos, lo investigamos y avisamos a las inmobiliarias afectadas sin demoras indebidas, con lo que sepamos: qué pasó, qué datos alcanzó y qué estamos haciendo. Cuando corresponde, también lo informamos a la autoridad de control.

Si encontrás una falla de seguridad, escribinos a santino.fajardo@tangoagent.app con el detalle y cómo reproducirla. Te respondemos, te contamos cuándo quedó arreglada y no vamos a tomar acciones contra investigaciones de buena fe que no accedan a datos de terceros ni afecten el servicio.

• Darle a cada persona el rol mínimo que necesita, y usar «lectura» para quien solo tiene que mirar.
• Quitar del equipo a quien deja de trabajar con ustedes: pierde el acceso en el momento.
• Usar contraseñas únicas, o entrar con una cuenta de Google con verificación en dos pasos.
• Avisarles a sus clientes que los atiende un asistente automático.