Security & data protection

Everything on this page is already binding — it is the buyer-facing summary of commitments written into our Data Processing Agreement and Service Level Agreement. Nothing here is a new promise; it is the same text, in the order a buyer actually asks about it.

安全与数据保护

这一页上的每一条都已经具有约束力 —— 它是数据处理协议与服务等级协议里既有条款的采购视角摘要。这里没有任何新承诺，只是把同样的内容，按买家真正会问的顺序重排了一遍。

Seguridad y protección de datos

Todo lo que aparece aquí ya es vinculante — es el resumen, en lenguaje de comprador, de los compromisos escritos en nuestro Acuerdo de Tratamiento de Datos y nuestro Acuerdo de Nivel de Servicio. No hay ninguna promesa nueva: es el mismo texto, en el orden en que un comprador realmente pregunta.

• Encryption. TLS 1.2+ in transit, AES-256 at rest.
• Access control. Role-based access, MFA on production systems, least-privilege by default.
• Network security. Cloudflare WAF, DDoS protection, IP allowlisting for administrative access.
• Monitoring. Audit logging, intrusion detection, automated anomaly alerts.
• Backups. Daily encrypted backups, 30-day retention, restorability tested quarterly.
• Personnel. Background checks, signed confidentiality agreements, mandatory security training.
• Vendor management. Security review and a DPA in place with every sub-processor.
• Incident response. Documented playbook, 24/7 on-call, written post-mortems.
• Certification. Working toward SOC 2 Type II.

• 加密。传输中 TLS 1.2 及以上，静态存储 AES-256。
• 访问控制。基于角色的权限、生产系统强制 MFA、默认最小权限。
• 网络安全。Cloudflare WAF、DDoS 防护、管理后台 IP 白名单。
• 监控。审计日志、入侵检测、异常自动告警。
• 备份。每日加密备份、保留 30 天、每季度做一次可恢复性验证。
• 人员。背景调查、签署保密协议、强制安全培训。
• 供应商管理。每一家子处理方都经过安全评估并签有数据处理协议。
• 事故响应。成文的处置手册、7×24 值班、事后书面复盘。
• 认证。正在推进 SOC 2 Type II。

• Cifrado. TLS 1.2+ en tránsito, AES-256 en reposo.
• Control de acceso. Acceso por roles, MFA en sistemas de producción, mínimo privilegio por defecto.
• Seguridad de red. WAF de Cloudflare, protección DDoS, lista blanca de IP para acceso administrativo.
• Monitorización. Registro de auditoría, detección de intrusiones, alertas automáticas de anomalías.
• Copias de seguridad. Diarias y cifradas, retención de 30 días, restauración probada cada trimestre.
• Personal. Verificación de antecedentes, acuerdos de confidencialidad firmados, formación de seguridad obligatoria.
• Proveedores. Revisión de seguridad y DPA firmado con cada subencargado.
• Respuesta a incidentes. Manual documentado, guardia 24/7, post-mortem por escrito.
• Certificación. En proceso hacia SOC 2 Type II.

Security claims are easy to write and hard to check. These ones you can check in thirty seconds — open your browser's developer tools on any page of this site, or run curl -I https://caliradi.ai/, and read the response headers:

安全声明写起来容易、核起来难。下面这些三十秒就能自己核实 —— 在本站任意页面打开浏览器开发者工具，或者执行 curl -I https://caliradi.ai/，直接读响应头：

Las afirmaciones de seguridad son fáciles de escribir y difíciles de comprobar. Estas se comprueban en treinta segundos: abre las herramientas de desarrollo en cualquier página de este sitio, o ejecuta curl -I https://caliradi.ai/, y lee las cabeceras de respuesta:

• We are a processor, not a data broker. Your customer data is used to run your service and nothing else. We do not sell it, and we do not train anything on it for other customers.
• Export any time. Contacts, conversations, campaign results and outcomes are exportable from your dashboard.
• Retention after you leave. Data is preserved for 90 days after your plan ends, then returned or deleted unless the law requires us to keep it.
• Nothing goes out in your name unreviewed. Outbound content is drafted for your approval in the dashboard before it is sent or published, and every send is timestamped in the audit trail.

• 我们是受托处理方，不是数据经纪商。你的客户数据只用于运行你自己的服务，不作他用。我们不出售它，也不拿它去训练供其他客户使用的任何东西。
• 随时导出。联系人、对话记录、投放结果与成效均可从你的后台导出。
• 停用之后的留存。计划结束后数据保留 90 天，随后返还或删除，法律另有强制要求的除外。
• 没有一条内容会未经你过目就以你的名义发出。对外内容一律先在后台生成草稿等你批准，发送后每一条都带时间戳进审计轨迹。

• Somos encargados del tratamiento, no intermediarios de datos. Tus datos de clientes se usan para operar tu servicio y nada más. No los vendemos ni entrenamos nada con ellos para otros clientes.
• Exporta cuando quieras. Contactos, conversaciones, resultados de campaña y métricas son exportables desde tu panel.
• Retención tras la baja. Los datos se conservan 90 días después de finalizar tu plan; después se devuelven o eliminan, salvo obligación legal.
• Nada sale en tu nombre sin revisión. El contenido saliente se redacta como borrador para tu aprobación antes de enviarse o publicarse, y cada envío queda con marca de tiempo en el registro de auditoría.

The full list — hosting and CDN, AI inference, the customer-record platform, Stripe for payments, Cloudflare for network security and DNS, and transactional email — is published in Section 7 of the DPA, with the location of each.

• You get 14 days' notice before we add or replace any sub-processor, and you may object on reasonable data-protection grounds.
• Card details never reach our servers. Payments are processed by Stripe; we store no card numbers.
• Transfers out of the EEA, UK or Switzerland rely on the EU Standard Contractual Clauses (Module 2, Controller to Processor) and the UK International Data Transfer Addendum.

完整清单 —— 托管与 CDN、AI 推理、客户档案平台、支付所用的 Stripe、承担网络安全与 DNS 的 Cloudflare、事务性邮件 —— 连同各自所在地，公布在数据处理协议第 7 节。

• 新增或更换任何子处理方，提前 14 天通知你，你可以基于合理的数据保护理由提出异议。
• 卡号从不进入我们的服务器。支付由 Stripe 处理，我们不存储任何卡号。
• 数据传出欧洲经济区、英国或瑞士时，依据欧盟标准合同条款（模块二，控制者至处理者）与英国国际数据传输附录执行。

La lista completa — alojamiento y CDN, inferencia de IA, la plataforma de registros de clientes, Stripe para pagos, Cloudflare para seguridad de red y DNS, y correo transaccional — se publica con su ubicación en la Sección 7 del DPA.

• Te avisamos con 14 días de antelación antes de añadir o sustituir cualquier subencargado, y puedes oponerte por motivos razonables de protección de datos.
• Los datos de tarjeta nunca llegan a nuestros servidores. Los pagos los procesa Stripe; no almacenamos números de tarjeta.
• Las transferencias fuera del EEE, Reino Unido o Suiza se amparan en las Cláusulas Contractuales Tipo de la UE (Módulo 2, responsable a encargado) y en el Addendum británico de transferencia internacional.

• Breach notification within 72 hours where feasible, and without undue delay in any case.
• 99.5% monthly uptime target, with service credits if we miss it — the formula and the credit table are in the SLA.
• Recovery time objective: 4 hours for the production system after a major incident.
• Maintenance windows are Sundays 2–4am Pacific, announced at least 24 hours ahead when availability may be affected.

• 数据泄露在可行情况下 72 小时内通报，任何情况下均不得无故拖延。
• 月度可用性目标 99.5%，未达标可申请服务抵扣 —— 计算公式与抵扣表在服务等级协议里。
• 恢复时间目标（RTO）：重大事故后 4 小时内恢复生产系统。
• 维护窗口为太平洋时间周日凌晨 2–4 点；可能影响可用性时至少提前 24 小时通知。

• Notificación de brechas en 72 horas cuando sea factible y, en todo caso, sin demora indebida.
• Objetivo de disponibilidad mensual del 99,5%, con créditos de servicio si no se cumple — la fórmula y la tabla están en el SLA.
• Objetivo de tiempo de recuperación: 4 horas para el sistema de producción tras un incidente mayor.
• Ventanas de mantenimiento: domingos de 2 a 4 de la madrugada (hora del Pacífico), avisadas con 24 horas de antelación si pueden afectar la disponibilidad.

Our analytics are cookie-less: no cookies are set, no IP address is stored, and there is no cross-site tracking. If your browser sends a Global Privacy Control signal, we do not load analytics at all — that is enforced in code, not in a policy document. Details are in Privacy and Cookies. Compliance is built to GDPR, CCPA and PIPL.

我们的统计不使用 cookie：不种 cookie、不存 IP、不做跨站追踪。若你的浏览器发出 Global Privacy Control 信号，我们直接不加载统计脚本 —— 这一条由代码兑现，不是政策文件里的一句话。细节见隐私政策与Cookie 说明。合规按 GDPR、CCPA、PIPL 构建。

Nuestra analítica no usa cookies: no se instalan cookies, no se almacena la IP y no hay seguimiento entre sitios. Si tu navegador envía la señal Global Privacy Control, directamente no cargamos analítica — está implementado en el código, no solo en una política. Detalles en Privacidad y Cookies. Cumplimiento conforme a GDPR, CCPA y PIPL.