Tus documentos son tuyos.Tu privilegio profesional, también.

Temis usa Google Vertex AI (Gemini) con las credenciales de nuestro proyecto en Google Cloud. Bajo este servicio, Google no retiene entradas ni salidas para entrenar sus modelos — es una garantía contractual de Google Cloud, no una promesa nuestra.

Implicación práctica: el manual de operaciones, contrato de franquicia o modelo financiero que suba tu equipo no aparecerá en ningún modelo público, ni en futuras versiones de Gemini.

Los archivos que sube tu equipo se guardan en buckets dedicados de Google Cloud Storage con versionado activo, acceso uniforme a nivel IAM y políticas de ciclo de vida (Nearline → Coldline → archivado). El backend llega a esos buckets con identidades de servicio de Google Cloud, sin llaves almacenadas; el resto de las credenciales de la plataforma vive en GCP Secret Manager.

Aislamiento por fila en la base de datos. El backend se conecta con un rol sujeto a Row Level Security de PostgreSQL, sin privilegio para saltarla. Documentos y sus fragmentos indexados, chats y mensajes, expedientes, carpetas, documentos generados y revisiones tabulares devuelven sólo las filas de quien tiene la sesión abierta, aunque una consulta de la aplicación omita el filtro. Una conversación con un abogado sólo la leen sus participantes.

Puedes entrar con OAuth2 (Google, Microsoft o Apple) o con correo y contraseña. La sesión es un JWT firmado con vigencia de 15 minutos, que se renueva con un token de refresco de 7 días y un tope absoluto de 90 días antes de volver a autenticarte. Diez intentos fallidos seguidos bloquean el acceso desde ese cliente durante 15 minutos.

Cada sesión corresponde a un dispositivo y el servidor la verifica en cada solicitud. Cerrar sesión la termina en el servidor, no sólo en el navegador. Cambiar la contraseña cierra las sesiones de tus demás dispositivos, y quitar a alguien de la organización cierra todas las suyas en su siguiente solicitud.

Si tu equipo entra con Google o con Microsoft, el segundo factor que ya exige tu organización se aplica en tu proveedor de identidad. Temis todavía no tiene segundo factor propio ni SSO por SAML — ambos están en el capítulo 8.

Dentro de una organización, los permisos se reparten en tres roles (titular, administrador y miembro) y se verifican en el servidor en cada llamada, no sólo en la interfaz. La organización puede limitar el acceso a los dominios de correo de la firma, fijar hasta dónde llegan los enlaces públicos de conversación y conectar su proveedor de identidad por SCIM 2.0 para dar de alta y de baja a sus miembros.

Cada acceso a un documento queda registrado: subida, apertura, vista previa, descarga, cambio de nombre, movimiento, borrado y los enlaces públicos creados, revocados o consultados, con usuario, fecha, IP y navegador. La bitácora guarda el acceso, nunca el contenido: no tiene columna para nombres de archivo ni texto. Todavía no hay una pantalla para consultarla desde la app.

Los movimientos sobre una organización — invitaciones, altas y bajas de miembros, cambios de rol y de asiento, cambios de política, aprovisionamiento por SCIM y movimientos de suscripción — se escriben en una bitácora propia, que los administradores consultan por API en JSON o CSV. Esa bitácora, la de accesos a documentos y el registro de quién recibe o pierde permisos de superusuario en Temis los protege la base de datos con un trigger: las filas se agregan y no se pueden editar ni borrar, tampoco desde la aplicación.

Los eventos de cuenta — inicios de sesión exitosos y fallidos con su IP, cierre de sesión, cambio de contraseña, llaves de API, exportación de datos y baja de cuenta — quedan en la bitácora del usuario.

Los logs de auditoría de la infraestructura y de la base de datos (pgAudit) se retienen 400 días en Google Cloud Logging. Los logs de aplicación se retienen 30 días.

VPC privada con subredes dedicadas (backend / base de datos / conector). Cloud Armor (WAF) con las reglas preconfiguradas de OWASP Top 10 y límites de tasa por IP: 600 solicitudes por minuto en general, 300 en la API y 20 en los endpoints de credenciales. Binary Authorization activo: nuestras imágenes sólo se despliegan en producción si llevan la firma que nuestro pipeline de CI estampa en cada build. El backend sólo recibe tráfico del balanceador y la base de datos no tiene IP pública.

Point-in-Time Recovery activo: restauramos la base a cualquier punto dentro de los últimos 7 días. 14 respaldos automáticos retenidos, instancia regional con alta disponibilidad y versionado activo en todos los buckets de documentos.

Para que decidas con información completa, esto es lo que todavía no tenemos:

SOC 2 e ISO 27001: no contamos hoy con ninguna de las dos, ni con una auditoría en curso.

Segundo factor propio y SSO empresarial (SAML 2.0 y OIDC contra tu directorio corporativo): en desarrollo. Hoy el segundo factor lo aporta tu proveedor de identidad cuando tu equipo entra con Google o con Microsoft.

CMEK (claves gestionadas por el cliente): no disponible. La base de datos y los documentos se cifran con llaves que administra Google.

Residencia de datos en México: todos los datos de cliente viven en us-central1 (Estados Unidos), y la inferencia usa el endpoint global de Vertex AI, que no fija la región donde se procesa cada solicitud. Todavía no operamos una región en México.

¿Mi cliente puede saber que usé Temis?

Es tu decisión profesional. Ten en cuenta que los .docx que genera Temis pueden llevar «Temis» como autor en las propiedades del archivo.

¿Qué pasa si un tercero pide acceso a mi información?

Solicitudes legítimas requieren orden judicial fundada y motivada. Te avisamos antes de responder, cuando la ley lo permita.

¿Quién en Temis puede ver mis documentos?

Nadie de forma rutinaria. La aplicación entra a la base de datos con un rol sujeto al aislamiento por fila; el mantenimiento usa una credencial aparte, y cada permiso de superusuario que se otorga o se retira queda registrado.

¿Si cancelo, qué pasa con mis documentos?

Cancelar corta el acceso, no borra. El borrado de una cuenta alcanza tus documentos, sus fragmentos indexados, tus conversaciones y los archivos en almacenamiento; desde ajustes se confirma con tu contraseña. Si tu organización cancela, borramos su contenido a petición y entregamos una constancia de destrucción firmada, que dice qué se borró y hasta cuándo es recuperable cada copia: 14 días en los respaldos de la base de datos y hasta 90 en el versionado de los buckets.

¿Tienen aviso de privacidad?

Sí, publicado y vigente en /privacidad.