Confianza y seguridad

Postura de seguridad

Cifrado en tránsito. Todo el tráfico hacia la API, el dashboard y el sitio viaja sobre TLS, y la conexión a la base de datos se verifica con TLS: la API no arranca si no puede verificar el certificado de la base.
Cifrado en reposo. Los datos viven en Postgres administrado con cifrado en reposo. Las credenciales de integraciones se cifran además con AES-256-GCM antes de tocar la base.
Las credenciales no se guardan en claro. Los identificadores y secretos que no necesitamos recuperar se almacenan como hashes. Las credenciales de proveedores que el servicio sí necesita usar se cifran con AES-256-GCM y nunca se devuelven por la API.
Aislamiento por espacio de trabajo. Cada solicitud se acota al espacio de trabajo y la membresía se revisa en cada llamada: si sacas a alguien del espacio, su acceso se revoca de inmediato.
Escritura gobernada. Un agente no aprueba su propio trabajo. Lo que propone queda como nota hasta que una persona lo revisa, así que ningún proceso automático cambia por su cuenta lo que el equipo tiene por cierto.
Gasto explícito. Ninguna etapa de pago corre sin una aprobación humana de esa cotización concreta. Cuando la asignación se agota, la respuesta falla en cerrado y te dice qué sigue.
Autenticación estándar. El conector MCP soporta OAuth 2.1 con PKCE y registro dinámico de clientes.

Subprocesadores

Operamos Brein sobre un conjunto reducido de terceros. Cada uno procesa solo los datos que su función necesita, y abajo decimos cuáles son esos datos —no solo el nombre del proveedor—, porque una lista sin eso no le sirve a nadie para decidir.

Infraestructura

Supabase. Base de datos principal de la aplicación. Estados Unidos.
Render. Hospedaje de la API y de los trabajos en segundo plano. Estados Unidos.
Vercel. Hospedaje y CDN del sitio y del dashboard. Red global.
Cloudflare. Verificación anti-bot en el sitio público. Ve la dirección IP de quien visita; no recibe datos de tu espacio de trabajo. Red global.

Identidad, cobro y comunicación

Clerk. Autenticación e identidad (nombre, correo, id de usuario). Estados Unidos.
Stripe. Pagos y suscripciones. Recibe tu nombre, correo y los datos de facturación. Los datos de tu tarjeta los captura Stripe directamente y nunca pasan por los servidores de Brein. Estados Unidos.
Resend. Correo transaccional, como las invitaciones a un espacio de trabajo. Estados Unidos.
Intercom. Soporte dentro del producto. Recibe tu identidad para poder atenderte; si borras tu cuenta, también pedimos tu borrado ahí. Estados Unidos.
Nylas. Conexiones autorizadas de Gmail y Outlook para el flujo beta de envío de campañas. Recibe la autorización de conexión y los datos mínimos de un envío aprobado; Brein no usa esta integración para leer el inbox, buscar mensajes ni gestionar respuestas.
Nango. Custodia las credenciales de las integraciones que tú autorizas (las llaves de las herramientas que conectas). Estados Unidos.

Datos comerciales

Estos son la fuente de los contactos profesionales que ves en el directorio. Tratan datos personales de terceros —personas que no son clientes de Brein— y por eso los nombramos aquí explícitamente en vez de dejarlos como «nuestras fuentes».

Hunter y Tomba. Directorio profesional y verificación de correos de trabajo. Reciben el dominio y el nombre de la persona que pides revelar.
Parallel y Exa. Investigación web para la evidencia que acompaña a una cuenta. Reciben el texto de la consulta de esa tarea.

Modelos

Proveedores de modelos. Inferencia para el asistente y la investigación. Brein mantiene las cuentas y elige el proveedor por turno; lo que se envía es el contexto de esa tarea.
PostHog. Analítica de producto (eventos de uso, id seudónimo).
Meta. Medición de nuestros anuncios: visitas a trybrein.com, y el registro o el inicio de la prueba con el correo y el id de la persona en SHA-256. Nunca contenido del espacio, CRM ni contactos.

Actualizamos esta lista antes de sumar un subprocesador nuevo que trate datos personales.

Fuera de esa lista: el botón de agendar del sitio es un enlace a Calendly, y si decides reservar ahí, tu nombre y correo quedan con ellos, no con nosotros. No va embebido ni te rastrea antes de que le des clic.

Controles de datos comerciales y envío

Los resultados comerciales conservan fuente, fecha de observación y señales de confianza. Una fuente pública no significa que un dato pueda redistribuirse libremente, y un correo enriquecido no equivale a permiso para contactar.

Nylas está activo sólo para la beta de envío autorizado. Brein controla las campañas, la autorización, la programación y la supresión. No lee el inbox, no busca mensajes y no administra respuestas dentro del producto; las respuestas permanecen en Gmail u Outlook. Smartlead, Hunter y Tomba no son proveedores activos de envío en esta beta.

Qué prueba y qué no prueba una cifra

Las cifras del universo alcanzable que publicamos —contactos, empresas y dominios indexados— describen el corpus que Brein puede consultar. La entrega real depende de tu criterio y de los créditos de tu plan, y Brein nunca presenta un corpus como censo exhaustivo de un mercado.

Los conteos que ves en una empresa del directorio son conteos del directorio. Buscar no revela ningún correo: desbloquear una empresa usa créditos, Brein muestra la cotización antes de confirmar y, si no entrega ningún contacto verificable, devuelve esos créditos.

Lo mismo aplica a la pertenencia a un registro público. Aparecer en un padrón de sancionados es una marca administrativa publicada, no una condena judicial; una adjudicación describe una decisión de contratación publicada, no un pago ejecutado. Cada ficha guarda de qué registro salió el hecho, cuándo se observó y qué no alcanza a probar esa fuente, en vez de convertirlo en una acusación o en una venta.

Retención de datos

Datos activos (espacios de trabajo, conocimiento, colecciones y registros) se conservan hasta que tú los borras.
Datos borrados entran en una ventana de recuperación de 30 días y después se eliminan de forma permanente.
Respaldos. La base se respalda automáticamente en la infraestructura de nuestro proveedor.
Tokens OAuth revocados se purgan 90 días después de la revocación.
Invitaciones vencidas se purgan 30 días después del vencimiento.
Baja de cuenta. Los espacios de trabajo de los que eres único dueño se borran en el momento, en una sola transacción junto con tu membresía y tus tokens; los espacios con otros dueños siguen vivos y solo sale tu membresía. Después pedimos tu borrado en Clerk y en Intercom. Los respaldos de la base rotan dentro de los 30 días siguientes, y conservamos únicamente lo que nos obligue la ley.

Reportar una vulnerabilidad

Escríbenos a [email protected]. También publicamos un security.txt conforme a la RFC 9116. Te pedimos una ventana razonable para remediar antes de la divulgación pública.

Privacidad y términos

Consulta el Aviso de privacidad para saber qué recabamos y cuáles son tus derechos, y los Términos del servicio para el acuerdo que rige el uso de Brein. Ambos documentos se publican en inglés.