Lo que protegemos hoy, sin adornos.
Dónde están tus datos, cómo hacemos las copias de seguridad, quién accede a qué y lo que no tenemos. Actualizado el 14/10/2026.
Datos en São Paulo
La base de producción está en São Paulo (Brasil). Las excepciones son la IA, Meta (WhatsApp e Instagram), el push y Cloudflare (DNS, proxy de la web y retransmisión de las llamadas de voz), detalladas abajo.
Diarias, con copia inmutable
Cada día, una copia de la base de datos va a una bóveda en São Paulo, cifrada y bloqueada: hasta que vence el plazo de conservación, nadie puede modificarla ni borrarla. El último simulacro de restauración completa fue el 05/10/2026.
9 roles
Cada persona solo ve lo que su rol le permite. Tu empresa asigna 7 de ellos a quien invita; el de propietario es de quien creó la cuenta, y el de soporte está reservado al equipo de CCX.
Registro de auditoría
Las invitaciones, los cambios de rol, las exportaciones, las claves de API y otras acciones de administración quedan registradas con autor y hora. Quien tiene permiso las consulta en el panel, y la entrada del soporte de CCX en tu cuenta también queda registrada.
Lo que protege tus datos hoy.
Todo lo de esta lista funciona en producción. Lo que no existe lo explicamos más abajo.
Cifrado en tránsito y en reposo
El panel y la API solo responden por HTTPS. El disco de la base de datos y las copias de seguridad están cifrados, y los secretos de webhook y las contraseñas de SMPP se guardan cifrados con AES-256-GCM.
Sesiones de 15 minutos
El acceso al panel dura 15 minutos y se renueva solo mientras trabajas. Cerrar sesión, cambiar la contraseña o ser suspendido o eliminado de la organización cierra la sesión al instante, y ninguna sesión dura más de 30 días.
Nueve roles de acceso
Del propietario al de solo lectura, cada persona tiene el mínimo que necesita para su trabajo.
Contraseñas y MFA
Contraseñas guardadas con Argon2id. MFA con aplicación de autenticación: cada persona lo activa en su cuenta y la organización puede exigirlo a todos.
Claves de API con alcance
Cada clave declara lo que puede hacer, y nadie puede crear una clave con más poder del que tiene. Se muestra una sola vez y se guarda solo como hash.
Webhooks firmados
Cada webhook que envía CCX lleva una firma HMAC-SHA256 con marca de tiempo, para que tu sistema pueda comprobar de dónde viene.
Sin claves fijas en la nube
Nuestras aplicaciones no guardan claves de acceso de AWS: cada una recibe credenciales temporales, vinculadas a esa aplicación.
Registro de auditoría
Las acciones administrativas del panel quedan registradas con autor y hora.
Copias de seguridad que ya hemos restaurado.
Cada día, una copia de la base de datos va a una bóveda en São Paulo, cifrada con su propia clave y bloqueada contra el borrado: hasta que vence el plazo de conservación, nadie puede eliminarla, ni siquiera nuestras propias aplicaciones.
El 5 de octubre de 2026 restauramos la base de datos entera desde esa bóveda, como simulacro, sin ningún fallo. Y si la copia del día no llega, un monitor externo avisa al equipo.
Quién trata datos con nosotros, y dónde.
Lo habitual es São Paulo. Las excepciones se declaran abajo.
Tú eres el responsable. Nosotros, el encargado.
Los datos de tus clientes son tuyos. Los tratamos por tu cuenta y orden, para prestar el servicio contratado.
Las solicitudes y dudas sobre datos personales van a nuestro delegado de protección de datos: dpo@ccxmessages.com
Roles y auditoría, en el panel.
Quién puede hacer qué, y el registro de lo que se hizo.
Lo que no tenemos.
Dicho con claridad, para que tu revisión de seguridad no tenga que descubrirlo.
Certificaciones
CCX no tiene certificación ISO 27001 ni informe SOC 2. Si eso cambia, esta página lo dirá, con la fecha y el informe.
Divulgación responsable
¿Encontraste un fallo? Escribe a nuestro canal de seguridad. Confirmamos la recepción en un plazo de 5 días hábiles y te mantenemos informado hasta la corrección. No emprendemos acciones legales contra quien investiga de buena fe siguiendo la política.
Estado
No publicamos la disponibilidad ni el historial de incidentes. La página de estado muestra de qué está hecha la plataforma y una dirección de salud que tu monitor puede consultar.
Lo que nos preguntan legal y TI
Envía tu cuestionario de seguridad y te respondemos con lo que está en producción hoy.
¿Dónde están alojados los datos?
En São Paulo (Brasil): aplicación, base de datos en tres réplicas, archivos, caché, cola, envío de email y copias de seguridad. Las excepciones declaradas son la entrega a través de Meta en WhatsApp e Instagram, el procesamiento de IA en Estados Unidos, las notificaciones push a través de Apple, Google y los navegadores, y la red de Cloudflare para el DNS, el proxy de la web y el audio de las llamadas. Cada una figura en la lista de subencargados de esta página.
¿CCX tiene ISO 27001 o SOC 2?
No. CCX no tiene certificación ISO 27001 ni informe SOC 2. Esta página enumera lo que protege tus datos hoy, y solo mencionará una certificación cuando exista.
¿Está cifrado de extremo a extremo?
No. Los mensajes están cifrados en tránsito y en reposo, y la plataforma los lee para entregarlos, guardarlos y mostrarlos en tu inbox. Cuando el soporte de CCX necesita entrar en tu cuenta, el acceso exige un motivo por escrito y queda registrado en tu audit log.
¿La IA aprende de mis conversaciones?
No. CCX no entrena modelos con tus conversaciones, y tu base de conocimiento solo sirve para que la IA busque contexto al responder. El uso y la conservación del contenido por los subencargados de IA están en la Política de Privacidad.
¿Qué pasa cuando me voy?
Avisas con 30 días de antelación, sin penalización por rescisión, y exportas lo que necesites antes de irte.
¿Cómo os envío el cuestionario de seguridad de mi empresa?
Envíalo a comercial@ccxmessages.com o habla con el equipo comercial. Te respondemos con lo que está en producción hoy y te decimos con claridad lo que no tenemos.
¿Te queda alguna pregunta de seguridad?
Si creas la cuenta desde la web, recibes 5 US$ de crédito de prueba.