Resumen de seguridad

Esta suele ser la primera pregunta, así que es la primera respuesta. Las herramientas de HUD —recertificación de ingresos, NSPIRE, SEMAP, EIV, razonabilidad de la renta, límites de ingresos— no contienen inteligencia artificial de ningún tipo. Son aritmética común escrita conforme a las reglas publicadas de HUD. Los ingresos de un hogar, su composición y el cálculo de su renta se procesan con código determinista en nuestros propios servidores y nunca se transmiten a Anthropic, OpenAI ni a ningún otro proveedor de modelos.

Eso importa más allá de la privacidad. Un cálculo hecho por un modelo de lenguaje no se puede auditar, no se puede reproducir con exactitud y no se puede defender en una revisión de HUD. El nuestro sí: el mismo hogar produce los mismos números cada vez, y cada cifra se rastrea hasta la regla que la produjo.

Honestkey sí usa IA en un solo lugar: leer los PDF de contratos de arrendamiento que se suben en el lado del consumidor del producto, que es un servicio separado de las herramientas gubernamentales. Si tu agencia nunca sube un contrato para analizarlo, ningún dato tuyo llega a un proveedor de modelos.

En Estados Unidos. La base de datos y los archivos subidos están en la región us-east-1 de Amazon Web Services, administrada por Supabase, sobre PostgreSQL 17. La aplicación se ejecuta en Vercel, también en Estados Unidos. Nada se almacena ni se procesa fuera del país.

Los datos se cifran en tránsito con TLS 1.2 o superior, y en reposo con AES-256. Eso aplica a la base de datos, a los documentos subidos y a las copias de seguridad.

El acceso lo hace cumplir la base de datos, no solo la aplicación. Cada tabla aplica seguridad a nivel de fila vinculada a la cuenta con la sesión iniciada, y los registros de las agencias además están limitados a la organización a la que pertenecen. Una solicitud que de algún modo llegara a la fila equivocada sería rechazada por el propio PostgreSQL, lo que significa que un error en la aplicación no puede exponer en silencio la cartera de casos de otra agencia.

La credencial administrativa que omite esas reglas existe solo en el servidor. Nunca se envía a un navegador y no está presente en ningún código que se ejecute en tu computadora.

El acceso de nuestro propio personal a producción está limitado a las personas que lo necesitan y protegido con autenticación de múltiples factores.

Esta es la lista completa de terceros que reciben algún dato de nuestra parte. Varios participan solo si activas la función que los usa, y la columna “Cuándo” indica cuáles. Si un proveedor no está en esta lista, tus datos no llegan a él.

Vercel, Supabase y Stripe mantienen cada uno sus propias atestaciones SOC 2, que ellos publican. Si lo pides, podemos indicarte dónde están los informes vigentes.

Tus datos son tuyos. Puedes exportarlos en cualquier momento y puedes pedirnos que los eliminemos; en ese caso se eliminan de la base de datos activa y salen de las copias de seguridad a medida que estas caducan en el ciclo normal. No vendemos datos, no los compartimos con anunciantes y no usamos los datos de una agencia para dar servicio a otra.

Supabase respalda la base de datos automáticamente según su calendario administrado.

Los errores se reportan a Sentry y se revisan. Si un incidente de seguridad afectara tus datos, te lo diríamos directamente y sin demora, con lo que sabemos, lo que hicimos y lo que necesitas hacer, no con un aviso enterrado en una página de estado. Reporta cualquier cosa que parezca estar mal a hello@honestkey.com y se revisará el mismo día.

Quien revisa y encuentra una sola exageración en una página como esta tiene razón en desconfiar del resto, así que este es el límite honesto:

• Honestkey no tiene su propia atestación SOC 2. Nuestros proveedores de infraestructura sí la tienen; nosotros no, y no afirmaremos lo contrario.
• No estamos autorizados por FedRAMP.
• No hemos encargado una prueba de penetración independiente.
• Somos una empresa pequeña. Esa es la compensación: tienes a la persona que escribió el software respondiendo tu correo, y no tienes un departamento de cumplimiento corporativo.

Si tu agencia exige alguno de los puntos anteriores antes de poder comprar, avísanos y te diremos con claridad si podemos cumplirlo y para cuándo, en lugar de dejar que lo descubras durante el proceso de adquisición.

Si estás reuniendo documentación para una compra, la página de adquisiciones (en inglés) incluye la postura sobre el umbral de compra, los documentos que podemos proporcionar y qué esperar en cuanto a los plazos.