Dosier de seguridad de FlowOS Octubre de 2026

Alcance de este documento.

FlowOS es el sistema operativo de IA de tus empleados: agentes, documentos, tareas programadas y conectores con las herramientas de tu empresa. Este documento describe las medidas aplicadas para proteger la confidencialidad, integridad y disponibilidad de tus datos y del tratamiento derivado de ellos.

Está dirigido a los equipos de TI, seguridad, jurídico y cumplimiento que evalúan FlowOS. Los compromisos contractuales (alojamiento, contrato de encargado del tratamiento, niveles de servicio, reversibilidad) se definen con cada cliente antes del despliegue.

Alojamiento definido contigo.

Dónde se alojan la aplicación y los datos de FlowOS (documentos, conversaciones, registros) y qué proveedores de infraestructura se utilizan, se definen con cada cliente antes del despliegue. El alojamiento puede limitarse a proveedores europeos.

Proveedores de modelos

FlowOS enruta las solicitudes a varios proveedores de modelos: Anthropic (Claude), OpenAI, Google (Gemini) y Mistral. El modo "EU only" limita el uso a Mistral, un proveedor europeo. Los datos enviados a un proveedor de modelos son tratados por ese proveedor conforme a sus propias condiciones.

El sitio web thinkingplatforms.com

El sitio web de marketing está alojado por OVH SAS (Roubaix, Francia). Esto se aplica únicamente al sitio web, no a la aplicación FlowOS.

Nuestros compromisos de seguridad.

Compartimos nuestra documentación de seguridad y respondemos directamente a las preguntas de tus equipos.

Todo pasa por el servidor de FlowOS.

El navegador nunca habla directamente con los proveedores de modelos ni con los conectores. Las solicitudes pasan por el servidor de FlowOS, que verifica la identidad y los permisos del usuario antes de acceder a los datos.

FlowOS ERP

La capa de IA de FlowOS ERP accede a los datos de negocio a través de una única pasarela, con los permisos del rol del usuario (dirección, ventas, finanzas, operaciones, empleado, administrador), también para las preguntas formuladas en lenguaje natural.

Despliegue privado

Se puede evaluar con tus equipos un despliegue privado o en tu propia infraestructura, según tus restricciones.

Conexiones cifradas, secretos protegidos.

• En tránsito: conexiones cifradas (HTTPS), con HSTS cuando el servicio se sirve por HTTPS.
• En reposo: depende del alojamiento definido contigo; lo especificamos antes del despliegue.
• Contraseñas: con sal y hash mediante scrypt, nunca almacenadas en texto plano.
• Claves de API: las claves de proveedores de modelos y conectores permanecen en el servidor y nunca se envían al navegador.
• Cabeceras HTTP: X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy no-referrer.

Permisos verificados en cada solicitud.

• Autenticación: correo y contraseña, autenticación de dos factores con códigos de aplicación (TOTP), inicio de sesión único con cuentas corporativas de Google o Microsoft (OpenID Connect) cuando está configurado.
• Sesiones: tokens aleatorios con una vida útil limitada.
• Roles: administrador, gestor y miembro, verificados en el servidor antes de cualquier acceso a los datos.
• Fuerza bruta: los intentos de inicio de sesión están limitados en frecuencia.
• Cuentas: un administrador puede desactivar una cuenta o restablecer su autenticación de dos factores, con efecto inmediato.

Quién hizo qué y cuándo.

FlowOS registra las acciones importantes en un registro de auditoría específico de cada organización, que los administradores pueden consultar:

• Inicios de sesión, inicios fallidos y cambios de autenticación de dos factores
• Invitaciones, cambios de rol y desactivaciones de cuentas
• Documentos, carpetas y enlaces para compartir
• Llamadas a modelos y uso de agentes
• Conectores añadidos o eliminados
• En FlowOS ERP: introducción de datos, preguntas, preparaciones y acciones de IA, aprobaciones y rechazos

Compromisos establecidos en el contrato.

• Brecha de datos: en caso de una brecha de datos personales que te afecte, te informamos sin dilación indebida, como exigen el RGPD y el contrato de encargado del tratamiento.
• Niveles de servicio: tiempos de respuesta y de soporte definidos contigo en el contrato.
• Informes de vulnerabilidades: escribe a contact@thinkingplatforms.com.

No entrenamos modelos con tus datos.

Thinking Platforms no entrena sus propios modelos con los datos de sus clientes. FlowOS utiliza las ofertas de API profesionales de los proveedores de modelos; la elección del proveedor y sus condiciones de datos se revisan contigo.

Modelos utilizados

Antes del despliegue, te indicamos qué proveedores de modelos se utilizan y en qué modo, por ejemplo "EU only".

Salvaguardas

Niveles de autonomía por tipo de acción. En FlowOS ERP, los pagos y las eliminaciones requieren siempre aprobación humana. Límites de uso por agente y por organización.

¿Una pregunta, un cuestionario, una revisión?

Escríbenos a contact@thinkingplatforms.com. Respondemos a las preguntas de tus equipos y, si es necesario, organizamos una revisión de seguridad con tu departamento de TI.