Seguridad de OmniLink
Última actualización: 30 de septiembre de 2026
Estado: Revisado por asesoría legal.
Audiencia: Revisores de seguridad y cumplimiento de los clientes. Para los términos específicos de privacidad consulte la Política de privacidad; para los terceros que procesan datos de clientes consulte Subencargados.
Esta traducción al español se ofrece para su conveniencia. En caso de discrepancia entre esta versión y la versión en inglés, prevalece la versión en inglés.
Interface OmniLink IP, LLC (“OmniLink”, “nosotros”) ofrece interpretación lingüística en tiempo real asistida por IA. Las sesiones de los clientes contienen comunicación hablada sensible: clínica, legal, financiera y laboral. Esta página documenta los controles que operamos hoy y la postura que ofrecemos a los revisores de cumplimiento como parte de la debida diligencia.
1. Residencia de datos
OmniLink opera por completo en los Estados Unidos.
- El almacén de datos principal (Supabase, alojado en AWS) corre en AWS
us-west-2. - Cada subencargado de IA, telefonía y almacenamiento se contrata bajo términos de procesamiento en EE. UU.
- No transferimos datos de clientes fuera de los Estados Unidos.
Consulte la página de Subencargados para ver la lista completa de proveedores y ubicaciones de procesamiento.
2. Cifrado
- En tránsito: todos los puntos de acceso orientados al cliente exigen TLS 1.2 o superior. El tráfico del navegador y de las funciones de borde usa HTTPS con HSTS.
- En reposo: todas las bases de datos, el almacenamiento de objetos y el almacenamiento de archivos están cifrados con AES-256 en la capa de almacenamiento.
- Cifrado a nivel de aplicación para credenciales: las credenciales de integración (p. ej., tokens de actualización de OAuth para plataformas de EHR, CRM o telefonía conectadas) se cifran a nivel de aplicación con una clave del lado del servidor antes de escribirse en la base de datos, además del cifrado de la capa de almacenamiento. Esto significa que incluso una fila de base de datos filtrada no expone credenciales utilizables.
3. Controles de acceso
- Aislamiento por espacio de trabajo. Cada cliente se crea como un entorno limpio y aislado. Las políticas de seguridad a nivel de fila (Row-Level Security) de la base de datos limitan cada lectura y escritura al espacio de trabajo del usuario que la solicita; no es posible el acceso a datos entre clientes desde la capa de aplicación.
- Permisos basados en roles. Dentro de un espacio de trabajo, cada acción está controlada por un permiso tipado (p. ej.,
sessions.start_live,notes.approve,settings.manage). Los administradores del espacio de trabajo asignan los roles; la plataforma aplica el permiso en cada superficie de la API. - Mínimo privilegio para el personal de OmniLink. El acceso a producción está restringido al personal autorizado. El acceso privilegiado requiere autenticación multifactor y queda registrado.
- Cierre de sesión y terminación. Los clientes pueden terminar de inmediato la sesión de un usuario y revocar su acceso al espacio de trabajo desde la consola de administración; el cambio es atómico y queda en el registro de auditoría.
4. Registro de auditoría
Cada captura de consentimiento, inicio de sesión, cierre de sesión, intento de inicio fallido, cambio de rol, invitación de miembro, terminación de miembro, autorización de integración, cambio de destino de entrega, cambio de configuración de retención y solicitud de titular de datos se escribe en un registro de auditoría de solo anexado. El registro guarda actor, objetivo, acción, marca de tiempo y resultado. Los administradores del espacio de trabajo pueden ver el registro de su cliente en la consola de administración; el personal de OmniLink conserva acceso solo para la investigación de incidentes y la revisión de cumplimiento.
5. Retención y eliminación
La retención se configura por espacio de trabajo y por tipo de contenido:
- Audio de la sesión. Predeterminado: se descarta en cuanto la transcripción aprobada se entrega al destino elegido por el cliente (“entregar y purgar”). Hay ventanas de retención opcionales de 30, 60 o 90 días.
- Transcripciones de sesión y notas de IA. La retención predeterminada sigue la postura de cumplimiento del cliente para su industria (a menudo 7 años en salud; varía en legal y otros sectores). Una tarea programada aplica la retención configurada.
- Datos de cuenta, facturación y auditoría. Se conservan durante la relación con el cliente más el periodo exigido por ley.
Los clientes pueden presentar solicitudes de titulares de datos (DSR) — para acceder, exportar o eliminar datos de Participantes específicos — a través de su consola de administración.
6. Debida diligencia de proveedores
Contratamos subencargados externos solo después de que cumplan los estándares que esperaríamos de nuestros propios sistemas:
- Un Acuerdo de Tratamiento de Datos (DPA) firmado.
- Cuando el subencargado procesará información de salud protegida de un espacio de trabajo de salud, un Acuerdo de Socio Comercial (BAA) firmado antes de activar ese espacio de trabajo.
- Una certificación pública SOC 2 / ISO 27001 / HITRUST, o una revisión de seguridad independiente equivalente.
- Una prohibición contractual de entrenar los modelos generales del proveedor con datos de clientes.
Los pagos los procesa Stripe (PCI DSS Nivel 1). Los datos de la tarjeta de pago los recopila y conserva Stripe; OmniLink no almacena números de tarjeta completos, y Stripe recibe únicamente los datos comerciales de facturación del espacio de trabajo, nunca contenido de sesión.
La lista actual de subencargados se publica en la página de Subencargados. Los clientes son notificados antes de que cualquier subencargado nuevo o de reemplazo comience a procesar datos de clientes, con una oportunidad razonable para objetar.
7. Postura HIPAA
Los espacios de trabajo de salud:
- Se lanzan solo después de que exista un Acuerdo de Socio Comercial con OmniLink y con cada subencargado en la ruta de la PHI (Supabase, Anthropic, ElevenLabs, RingCentral y cualquier subencargado de almacenamiento).
- Se configuran para mantener la retención de audio compatible con la §164.530(j) y con su política interna de documentación.
- Reciben los materiales de acceso lingüístico de la §1557 que documentan el rol de la interpretación automatizada frente a la interpretación humana calificada en su caso de uso específico.
Vercel (alojamiento del frontend) y Stripe (facturación) están fuera de la ruta de la PHI: el contenido de sesión fluye desde el navegador directamente a Supabase, Anthropic y ElevenLabs por TLS y nunca pasa por ellos. Consulte la página de Subencargados.
La infraestructura subyacente de OmniLink es elegible para HIPAA de extremo a extremo. La documentación de postura está disponible a solicitud.
8. Respuesta a incidentes
Mantenemos un manual escrito de respuesta a incidentes que cubre triaje, contención, erradicación, recuperación, notificación al cliente y análisis posterior. Los incidentes de seguridad relevantes que afecten datos de clientes se comunican al contacto administrativo principal del espacio de trabajo afectado dentro del plazo exigido por la ley aplicable y nuestros acuerdos con los clientes y, en todo caso, sin demora indebida.
9. Continuidad del negocio y recuperación ante desastres
OmniLink opera sobre infraestructura de nube administrada (Supabase + AWS + Vercel) con redundancia provista por los proveedores, copias de seguridad automatizadas y disponibilidad en múltiples zonas. Mantenemos un plan escrito de continuidad del negocio y recuperación ante desastres (BCP/DR) que define objetivos de recuperación, dependencias y procedimientos de restauración probados.
10. Desarrollo seguro de software
- Todos los cambios de código pasan por solicitudes de incorporación (pull requests) con compilación automatizada y verificación de tipos antes de poder llegar a producción.
- Los despliegues a producción están protegidos por una verificación de Autor de Confianza que rechaza los commits firmados por correos no vinculados a una identidad autorizada de GitHub.
- Los secretos se almacenan en bóvedas cifradas (nunca en el control de versiones), se enumeran en un inventario interno de secretos y se rotan cuando hay cambios de personal.
11. Marcos de cumplimiento
La postura de OmniLink está alineada con los siguientes marcos según la industria del cliente:
- Regla de Seguridad de HIPAA §164 para espacios de trabajo de salud.
- Requisitos de acceso lingüístico de la §1557 de la ACA para programas de salud con fondos federales.
- Título VI para educación y proveedores de servicios con fondos federales.
- Regla de Salvaguardas de GLBA para espacios de trabajo de servicios financieros.
- CCPA / CPRA para titulares de datos residentes en California.
- Expectativas de documentación de OSHA para espacios de trabajo industriales.
La documentación de postura para HIPAA, FERPA y GLBA está disponible a solicitud para revisores de cumplimiento calificados.
12. Reporte de vulnerabilidades
Si cree haber encontrado una vulnerabilidad de seguridad en OmniLink:
- Escriba a support@interfaceomnilink.com con el asunto
Security report — <resumen breve>. - Incluya suficiente detalle para reproducir el problema, la URL o el componente afectado y cualquier material de prueba de concepto que pueda compartir con seguridad.
- Nos comprometemos a confirmar la recepción en un plazo de dos días hábiles, a entregar una evaluación de triaje en cinco días hábiles y a mantenerlo informado hasta la resolución.
Actualmente no operamos un programa de recompensas por errores. Agradeceremos públicamente, con su permiso, a quienes reporten de forma responsable.
13. Solicitudes de documentación de cumplimiento
Los equipos de cumplimiento de los clientes pueden solicitar:
- Lista de subencargados con salvaguardas (lo anterior + la lista pública).
- Resumen de postura HIPAA + plantilla de BAA.
- Resúmenes de postura FERPA / GLBA (según la industria).
- Descripción general del esquema del registro de auditoría.
- Recorrido por la configuración de retención.
- Resumen del manual de respuesta a incidentes.
Escriba a support@interfaceomnilink.com con el asunto Compliance posture request y lo dirigiremos a los documentos correctos en un plazo de dos días hábiles.
Esta página describe la postura de seguridad que OmniLink opera hoy. Publicaremos aquí los cambios relevantes y notificaremos a los clientes afectados conforme a nuestros acuerdos con ellos. Para los términos específicos de privacidad consulte la Política de privacidad; para los términos que rigen el servicio consulte los Términos de uso.
¿Preguntas? Escríbanos a support@interfaceomnilink.com.