Seguridad y confidencialidad
Qué sabe laar de ti, a dónde viaja y quién puede verlo.
Esta página está escrita para quien tiene que revisar a laar antes de dejarlo entrar a su empresa. Dice lo que existe hoy, lo que todavía no, y a quién le pasamos qué. Si algo de aquí no coincide con lo que encuentras, escríbenos: es un error y lo corregimos.
Última revisión: 18 de septiembre de 2026 · Responsable de seguridad: Alvaro Cárdenas, fundador
laar contesta con datos públicos, no con los tuyos.
laar es un asistente de inteligencia artificial para analizar bienes raíces en México. Sus respuestas salen de fuentes públicas que laar recopila y procesa por su cuenta: anuncios de portales inmobiliarios, INEGI, IMSS, Banxico, SHF, planes de desarrollo urbano, reglamentos municipales y reportes de mercado. Para usarlo basta un nombre y un correo.
Todo lo demás es opcional y lo decides tú: la dirección de un predio que estás evaluando, un avalúo, una corrida financiera. Si los compartes, laar los usa para responderte a ti y a nadie más. Si además decides aportar cifras al Programa de Datos Aportados, solo entran a estadísticas de grupo que no te identifican; nunca se muestran ni se comparten tus datos individuales. El documento que subas para aportar se lee para extraer las cifras y laar no lo guarda. Si tu política interna no permite compartirlos, laar sigue sirviendo: pregunta por la zona, el mercado o la norma, sin decir de quién es el terreno.
El camino de tus datos, completo.
De tu navegador a laar
Todo viaja cifrado por HTTPS. Cloudflare recibe la conexión, filtra tráfico malicioso y la entrega a la aplicación, que corre en Railway. El navegador guarda tu sesión en su almacenamiento local. Dentro del chat no hay píxeles de publicidad.
Lo que recibe Anthropic
Para redactar cada respuesta, laar envía al modelo de Anthropic tu pregunta, el historial de esa conversación y, si los subiste, el texto o la imagen de tus documentos. Anthropic no entrena sus modelos con lo que recibe por su API y lo procesa en Estados Unidos. Conserva los datos por un periodo limitado conforme a su política; laar todavía no ha pactado con Anthropic un esquema sin retención. Cada petición lleva un identificador opaco de la cuenta —no tu nombre ni tu correo— y, con el modo confidencial encendido, los correos, teléfonos, RFC, CURP, CLABE y tarjetas que escribas se sustituyen por marcadores antes de salir y se restituyen en tu respuesta.
Lo que reciben los servicios de mapas
Cuando pides analizar una dirección o el uso de suelo de un predio, el servidor de laar consulta a Nominatim (OpenStreetMap) y a los servidores cartográficos públicos del municipio o del estado. Reciben la dirección o las coordenadas, nada más: ni tu nombre, ni tu correo, ni tu IP, porque la consulta la hace nuestro servidor y no tu navegador. Aun así, una coordenada dice qué predio se está mirando; si eso es confidencial para ti, el administrador de tu equipo puede apagar estas consultas: laar contesta entonces solo con las capas que tiene en casa, dice con claridad dónde no consultó y te pide coordenadas o el pin en lugar de la dirección.
Correo, cobro y boletín
Resend envía tu enlace de acceso. Stripe cobra: los datos de tu tarjeta los capturas en su formulario y laar nunca los ve. Brevo recibe tu correo solo si te suscribes al boletín.
Lo que tu navegador descarga de otros
Las tipografías vienen de Google Fonts; algunas librerías de la interfaz, de jsDelivr y unpkg; el mapa base, de CARTO. Al entregarlas ven tu dirección IP. Google Analytics y las etiquetas de anuncios solo existen en las páginas públicas y solo se cargan si lo aceptas.
La lista completa de subprocesadores, con país y acuerdo de tratamiento →
Qué se guarda y por cuánto tiempo.
Lo que guardamos es lo que hace falta para que tu cuenta funcione. Puedes descargarlo todo o borrarlo todo desde tu perfil, sin pedirle permiso a nadie.
| Qué | Para qué | Cuánto |
|---|---|---|
| Cuenta: nombre, correo, plan | Identificarte y cobrar lo que contrataste | Mientras exista la cuenta |
| Conversaciones y documentos | Que puedas retomar un análisis y generar tu reporte | Hasta que los borres, o 24 meses sin actividad |
| Enlaces de acceso | Entrar sin contraseña; cada uno sirve una vez | 30 días |
| Diagnóstico técnico del teléfono | Resolver una falla, solo si soporte te pide activarlo | 90 días |
| Bitácoras de auditoría | Saber quién accedió a qué | 24 meses |
| Respaldos de la base | Recuperar el servicio tras una falla | 14 días |
Lo que borras desaparece de la base en el momento y de los respaldos cuando se cumple su ventana de 14 días. En los planes de equipo, los documentos que sube una persona los ve el resto de su organización —salvo que su administrador apague la biblioteca compartida—; las conversaciones, no. El administrador también puede fijar cuántos días viven las conversaciones de su equipo.
Los controles que existen hoy.
Cada uno está en el código y tiene pruebas automáticas que fallan si alguien lo rompe. A un cliente empresa se lo mostramos en pantalla.
- Acceso sin contraseñas
- Entras con un enlace que llega a tu correo, sirve una sola vez y caduca en 15 minutos. No hay contraseña que robar ni que reutilizar.
- Sesiones que caducan y se cierran a distancia
- Una sesión se cierra sola tras 90 días sin uso y, aunque la uses a diario, a los 180 días de haberse abierto. Desde tu perfil ves en qué dispositivos está abierta tu cuenta y cierras cualquiera sin tenerlo en la mano. Para descargar tus datos o borrar la cuenta, laar pide que hayas entrado hace poco: una llave copiada no alcanza.
- Llaves solo como huella
- La llave de tu sesión se guarda como un hash SHA-256, no en claro. Quien viera la base de datos no obtendría llaves utilizables.
- Aislamiento entre cuentas, probado ruta por ruta
- Cada ruta que devuelve datos de un cliente tiene una prueba que intenta leerlos desde otra cuenta y exige que falle. Un guardián rechaza cualquier ruta nueva que llegue sin esa prueba.
- Exportar y borrar tus datos
- Desde tu perfil descargas todo lo que laar tiene de ti o eliminas tu cuenta con sus conversaciones y documentos. El borrado ocurre completo o no ocurre, y al terminar recibes un comprobante: qué se eliminó, qué se conserva por obligación fiscal y en qué fecha, a más tardar, tu cuenta sale también de los respaldos. Son funciones del producto, no un trámite por correo.
- Bitácora de auditoría
- Cada acceso a datos de clientes y cada acción administrativa, incluidos los intentos rechazados, deja un renglón: quién, qué, cuándo y desde qué red. Nunca guarda el contenido de una conversación o de un documento. Los renglones van encadenados, de modo que alterar o quitar uno se nota; eso permite detectar una manipulación, no la vuelve imposible. El administrador de un equipo obtiene la de su organización en JSON o CSV; hoy se pide por API, todavía sin pantalla en la app. Se conserva 24 meses y empezó a registrar el 18 de septiembre de 2026.
- Webhooks firmados
- Los avisos de Stripe y de Resend se aceptan solo con firma válida, dentro de una ventana de cinco minutos y sin repetición.
- Documentos que no dan órdenes
- El contenido de un archivo que subes se trata como información, nunca como instrucción: un PDF no puede pedirle a laar que revele datos o cambie su conducta.
- Salidas a internet con lista blanca
- Las herramientas de laar solo consultan dominios aprobados y no pueden alcanzar direcciones internas de la infraestructura.
- Cabeceras y transporte
- HTTPS obligatorio con HSTS, protección contra incrustación en otros sitios, un solo origen permitido para la API y secretos fuera del repositorio y de la imagen del servidor. En la política de seguridad de contenido, cada script de laar va firmado con un código que cambia en cada respuesta: uno inyectado por un tercero no tendría esa firma y el navegador no lo ejecutaría. La sesión todavía se guarda en el almacenamiento local del navegador; pasarla a una cookie que los scripts no puedan leer sigue pendiente.
- Cada cambio pasa por las pruebas
- Cerca de dos mil pruebas automáticas, entre ellas las de aislamiento entre cuentas, corren en cada cambio al código. Las dependencias tienen versión fija, se revisan cada semana contra las bases públicas de vulnerabilidades y queda un inventario de componentes. El servidor corre sin privilegios de administrador. Lo que falta: que una prueba en rojo detenga por sí sola la publicación; hoy avisa.
- Modo confidencial para equipos
- El administrador de un plan de equipo lo enciende y, desde ese momento, laar no
guarda el texto de las conversaciones, ni los documentos, ni los PDF: de cada turno
quedan solo metadatos —quién, cuándo, tamaño, consumo y qué consultas se usaron— para su
bitácora y la medición de costos, nunca contenido. La conversación vive en la pestaña; al recargarla, ya no está. Lo que
Anthropic conserva del lado suyo sigue su propia política.
disponible en planes de equipo - Ajustes de seguridad del administrador
- Apagar la subida de documentos, las consultas a servidores externos con la
ubicación del predio y la biblioteca compartida. Cada ajuste explica qué cambia, y
cada cambio queda en la bitácora del equipo. También puede fijar cuántos días viven
las conversaciones; ese plazo se empezará a ejecutar cuando se encienda la purga
automática, que aparece más abajo entre lo que está en curso.
disponible en planes de equipo - Medición con permiso
- Las páginas públicas no cargan Google Analytics ni etiquetas de anuncios hasta que aceptas. El chat no las carga nunca.
Lo que está en curso, dicho sin adornos.
laar es una empresa joven, con un fundador como responsable de seguridad. Esto es lo que un revisor exigente va a echar de menos hoy, y en qué punto está.
Hay dos clases de pendiente. Lo marcado «falta activarlo» ya está escrito y probado, pero no protege a nadie hasta que laar cargue una llave o encienda un interruptor en el servidor; al 18 de septiembre de 2026 eso no se ha hecho, y por eso está aquí y no arriba. Lo demás todavía no existe o no depende solo de laar.
- Respaldos cifrados
- El respaldo diario de la base se conserva 14 días y ya se ensayó una restauración
con el respaldo real. El cifrado que lo protege antes de salir del servidor está
escrito, pero su llave aún no se carga: hoy el respaldo sale sin cifrar.
listo en el código, falta activarlo - Verificación en dos pasos
- Códigos de una aplicación de autenticación, con códigos de respaldo por si pierdes
el teléfono. El administrador de un equipo podrá hacerla obligatoria para su gente, y
laar la exigirá a sus propios administradores. Mientras la llave del servidor no esté
cargada, nadie puede activarla.
listo en el código, falta activarlo - Entrar con Google
- Una segunda puerta a la misma cuenta, además del enlace por correo: el acceso
pasa por los servidores de laar (OpenID Connect con PKCE), sin cargar código de Google
en la página. Solo aceptamos correos que Google confirma y administra, respeta tu
verificación en dos pasos y no sirve para saltarse el acceso corporativo de una
empresa que lo exige. Lo único que viaja es tu correo y tu nombre, y solo si eliges
ese botón.
listo en el código, falta activarlo - Entrar con la cuenta de tu empresa
- Conexión con el proveedor de identidad de tu organización por OpenID Connect
(Entra ID, Okta, Google Workspace, Ping, Keycloak), obligatoria si así lo decides
para tus dominios de correo, y baja de personas desde tu directorio (SCIM), que cierra
sus sesiones y las saca del equipo. Faltan la llave del servidor, una pantalla para
configurarlo y la prueba con el proveedor de identidad de un primer cliente. SAML no
existe y solo se haría si un cliente no puede usar OpenID Connect.
listo en el código, falta activarlo - Purga automática
- Los plazos de la tabla de arriba están escritos como reglas y la purga corre a
diario, pero en simulación: cuenta lo que eliminaría y no elimina. Se encenderá
después de revisar esos conteos. Hasta entonces nada caduca solo; lo que tú borras
sí se borra en el momento. El aviso previo a las cuentas inactivas aún no existe.
listo en el código, falta activarlo - Acceso solo desde tus redes
- Lista de direcciones IP permitidas por organización, para que una sesión de tu
equipo no sirva fuera de tu oficina o tu VPN.
listo en el código, falta activarlo - Administración interna
- El panel interno se abre por cuenta individual y cada acción queda en la
bitácora. Siguen pendientes la verificación en dos pasos para entrar a él, separar
por función la llave que hoy abre respaldo y diagnóstico, y completar el segundo
factor en las cuentas de nuestros proveedores.
en curso - Acuerdo sin retención con el proveedor de IA
- El modo confidencial ya evita que laar guarde tus conversaciones. Falta la otra
mitad: que Anthropic tampoco conserve lo que procesa para tu organización. Está por
solicitarse y depende de que Anthropic lo apruebe para la cuenta de laar.
en preparación - Cifrado de campo y aislamiento en la base
- Hoy los datos viajan cifrados, pero laar no cifra por su cuenta las conversaciones
dentro de la base, y la separación entre cuentas la hace la aplicación, no la base.
El cifrado con llave por organización y el aislamiento por fila en Postgres están
escritos y apagados; no operan.
en preparación - Prueba de penetración independiente
- Todavía no se ha hecho. Cuando exista, el resumen se compartirá bajo acuerdo de
confidencialidad.
en preparación - SOC 2
- laar no tiene un reporte SOC 2 ni una certificación ISO propios. Nuestros
proveedores sí los tienen, y eso cubre su infraestructura, no nuestra aplicación.
en preparación - Residencia de datos
- Los datos se procesan principalmente en Estados Unidos. No ofrecemos hoy residencia
en México ni en la Unión Europea.
sin fecha
Sobre quién nos apoyamos.
Estos proveedores publican sus reportes de auditoría y sus políticas. Sus centros de confianza son la fuente; aquí solo resumimos lo que declaran.
AnthropicModelo de lenguaje. SOC 2 Tipo II, ISO 27001 e ISO 42001. No entrena con datos de su API. trust.anthropic.com
RailwayServidores y base de datos. SOC 2 Tipo II. trust.railway.com
CloudflareRed, protección y DNS. ISO 27001, SOC 2 Tipo II, entre otras. cloudflare.com/trust-hub
StripePagos. Proveedor de servicios PCI DSS nivel 1. docs.stripe.com/security
ResendCorreo de servicio. SOC 2 Tipo II. resend.com/security
GitHubCódigo y automatización. SOC 2 e ISO 27001. github.com/security
Que ellos estén certificados no certifica a laar. Lo que sí hace es que la parte más difícil de proteger —centros de datos, redes, discos— esté en manos de quien ya pasó esa auditoría.
Conversas con una IA, y te lo decimos.
laar es un sistema de inteligencia artificial, no una persona. Sus respuestas las redacta un modelo de lenguaje de Anthropic a partir de los datos que laar le entrega, y un control propio bloquea las cifras que no provienen de una fuente. Aun así puede equivocarse: cada análisis cita sus fuentes para que lo verifiques, y no sustituye un avalúo, una opinión legal ni una asesoría de inversión.
Ni laar ni Anthropic usan tus conversaciones o documentos para entrenar modelos.
¿Encontraste una falla de seguridad?
Escríbenos con lo que viste, los pasos para reproducirlo y el alcance que crees que tiene. Te contestamos en un máximo de cinco días hábiles y te mantenemos al tanto hasta cerrarlo. No emprenderemos acciones legales contra quien investigue de buena fe, sin acceder a datos de otras personas más allá de lo necesario para demostrar la falla y sin degradar el servicio. Por ahora no tenemos programa de recompensas.
security@laar.appArchivo para herramientas: /.well-known/security.txt
Para el equipo de cumplimiento.
Si tu empresa necesita revisar a laar, pídenos el paquete a security@laar.app: acuerdo de tratamiento de datos (resumen aquí), cuestionario CAIQ Lite contestado, política de seguridad, plan de respuesta a incidentes, inventario de datos y los reportes de nuestros proveedores. El aviso de privacidad y la lista de subprocesadores son públicos.