Aislamiento multiinquilino a nivel de base de datos, cifrado y acceso de mínimo privilegio: la seguridad es parte de la arquitectura, no un complemento.
Row-Level Security en todas las tablas — una empresa nunca ve los datos de otra, aplicado en la base de datos.
Todo el tráfico por TLS; los datos y archivos se cifran en reposo en la infraestructura gestionada.
Documentos, escaneos y grabaciones se sirven por URLs firmadas de corta duración, nunca enlaces públicos.
Cada función del servidor verifica al usuario (JWT) y la pertenencia a la empresa; nunca se confía en los IDs del cliente.
Las claves API solo viven en secretos del servidor; los endpoints cron están protegidos; el acceso se limita al rol.
PostgreSQL gestionado con copias de seguridad, triggers de auth reforzados y un enfoque de datos alineado con el RGPD.