Lo que hacemos para que una firma se sostenga.

Antes de firmar, a la persona se le muestra el consentimiento de registros electrónicos y tiene que aceptarlo. Esa aceptación se guarda junto a la firma, no se da por supuesta.

Cada momento importante — creado, enviado, visto, firmado, rechazado, anulado, con el motivo que dio la persona — se escribe en el registro de auditoría junto con la hora, la dirección IP y el navegador y dispositivo usados.

La tabla de auditoría es de solo adición. El permiso para modificar o borrar una fila está revocado en la propia base de datos, así que ni nuestro personal ni nuestra propia aplicación pueden retrofechar ni borrar una entrada.

Figurar en un documento no es firmarlo. Una persona consta como firmante solo cuando todos los campos de firma e iniciales que le corresponden llevan una marca real. Rellenar textos, fechas, importes o casillas nunca se trata como una firma.

Una descarga, una impresión, un archivo adjunto, una carta certificada: cada una se registra con su propio número de serie, quién la tomó, cuándo y desde qué dirección y dispositivo. Abrir un documento dentro de XOsign no es una exportación y no se registra.

El registro solo lo puede leer su propia cuenta, y lo impone la base de datos. Nadie — tampoco nosotros — puede cambiar ni borrar una fila desde la aplicación; desaparece solo cuando usted elimina su cuenta.

En los planes de pago cada copia lleva una marca oculta que sobrevive a la impresión, la fotocopia, el escaneo y las capturas de pantalla, de modo que una página filtrada se puede vincular con la exportación de la que salió. Las cuentas gratuitas no tienen nada de esto: ni registro ni marca.

Cada tabla con datos de cuenta lleva seguridad a nivel de fila de Postgres ligada a tu cuenta. El aislamiento lo impone la base de datos, no el código de la aplicación acordándose de filtrar.

TLS en cada conexión, AES-256 en reposo en el Postgres y el almacenamiento de Supabase. Las claves que podrían saltarse esto existen solo dentro de funciones del servidor; un navegador nunca recibe una.

El monitor de errores está configurado para recibir el error y nada más: sin direcciones IP de usuarios, sin cookies, sin cabeceras de autenticación y sin grabación de sesión. Lo que nuestros clientes ven en pantalla son los contratos de sus clientes, así que el monitor no llega a verlo.

Tus contratos nunca se usan para entrenar un modelo, y nuestra IA funciona con una configuración de retención cero. Los datos de pago se quedan en Stripe: nosotros solo guardamos un identificador de cliente.

Hoy mismo puede activar un código de autenticación para su propia cuenta. El propietario de un equipo puede exigirlo a todos sus miembros, con un plazo de gracia, un aviso previo y una prórroga individual: nadie se queda fuera de un trabajo en curso. Nuestras propias herramientas internas siempre lo han exigido.

Descargue al instante un resumen de todos los datos que guardamos sobre usted, o pida el paquete completo — sus registros, su historial de auditoría y todos sus archivos — que llega como enlace por correo. Una exportación completa por cuenta y día, desde Ajustes → Privacidad.

Un documento que sube se queda exactamente como lo subió. Si pide una copia editable, esa copia es un documento de trabajo aparte: el original sigue adjunto e intacto, y todo lo demás se sigue haciendo sobre él.

Hoy puedes solicitar la eliminación desde los ajustes de tu cuenta. Se programa a 30 días para poder deshacer un error, y después los datos se purgan. El registro de auditoría sobrevive a propósito: un registro legal que puedes borrar no es un registro legal. Las cuentas de demostración creadas sin registrarse se eliminan siete días después de crearse.

Apuntamos a WCAG 2.1 AA. La declaración dice claramente dónde lo cumplimos y dónde todavía no.

Está planeada una auditoría SOC 2 Tipo II. No la hemos empezado y hoy no afirmamos tener ninguna certificación.