Lo que puede alcanzar, y lo que no

Las preguntas útiles son concretas: a qué puede llegar el bot, qué guardamos, y qué mantiene separadas las conversaciones de un cliente de las de otro. Estas son las respuestas, también dónde acaban los controles.

Un bot alojado estándar no tiene herramientas

En un sitio alojado estándar, tu Context y la conversación entran y sale texto. El bot no tiene shell, sistema de archivos ni acceso general a la web. No puede hojear los datos de otro cliente porque esa capacidad no existe, no porque una instrucción la prohíba.

Enterprise alojado es la excepción explícita: puedes configurar una herramienta de contexto MCP que tú operes. El bot puede invocar esa herramienta y ninguna otra; tampoco recibe shell, sistema de archivos ni navegador general.

Cómo se separan las conversaciones

Cada conversación se guarda bajo una clave construida con el id del sitio y el id de la conversación, ambos fijados por nosotros, no elegidos por quien llama. Un sitio no puede nombrar la conversación de otro sitio porque no puede nombrar un id de sitio que no le haya sido emitido.

Los ids de conversación están firmados, así que un visitante no puede adivinar uno ni editarlo para entrar en el chat de otra persona.

Tu clave es pública; tus dominios son el control

La clave está en el código fuente de tu página por necesidad. En un navegador, una petición que la lleva desde un dominio que no listaste se rechaza. Otra cuenta no puede reclamar un dominio que tú ya sirves, aunque dos bots de tu propia cuenta pueden compartirlo.

Origin es un control de navegador, no una garantía contra un cliente API arbitrario: un software que no es navegador puede falsificar esa cabecera. Deja el acceso sin Origin desactivado, salvo que estés apoyando deliberadamente una app móvil; y cuando lo hagas, exige que cada instalación de la app se registre.

Lo que podemos ver

Podemos leer las conversaciones de tus sitios — se guardan en nuestro hardware, sin cifrar en reposo; si no fuera así, el soporte sería una pretensión. Se eliminan con la barredura periódica de retención del servicio alojado. Borrar un bot invalida su clave de inmediato, pero no borra de inmediato las conversaciones guardadas ni los leads capturados.

No usamos tus conversaciones para entrenar modelos. El modelo alojado es un modelo de pesos abiertos que corre en nuestro hardware, y tu texto se usa solo para responder la conversación.

Dónde corre el modelo

En nuestro propio hardware. No enviamos los mensajes de tus visitantes a OpenAI, Anthropic, Google ni a otro proveedor externo de modelos para inferencia. El correo de transcripciones, una herramienta MCP de Enterprise configurada por el cliente y la infraestructura necesaria para prestar el Servicio son rutas de datos distintas descritas en nuestro Aviso de privacidad.

Los límites de una persona

Las instrucciones que le dicen al agente qué no decir son fuertes, pero no absolutas. Un visitante terco a veces puede convencer a un modelo. Probamos el nuestro contra exactamente eso — suplantación, «ignora tus instrucciones», hacerse pasar por el dueño del sitio, pedirle que repita su prompt — y lo diseñamos para que se niegue. Pero no llamaremos absoluta esa protección, porque una protección a nivel de instrucciones no lo es.

Por eso los límites importantes son estructurales, no instruccionales. No guardes un secreto en el Context confiando en que un Guardrail lo mantenga dentro; todo lo que el agente sabe, trátalo como algo que un visitante podría acabar leyendo.

Lo que no vamos a afirmar

No tenemos ninguna certificación de cumplimiento: ni SOC 2, ni ISO 27001, ni HIPAA. Si tu área de compras exige una, hoy no somos la opción indicada, y preferimos decirlo ahora que en medio de un cuestionario.

Si el requisito es que los datos no deben salir de tu red, ni siquiera un poco, el servicio alojado tiene la forma equivocada y ejecutándolo tú es la correcta.

Reportar algo

Si encuentras un problema de seguridad, escribe a security@kavilo.cloud. Confirmaremos el recibo, y preferimos enterarnos en medio de una incomodidad a no enterarnos nunca.