Dónde viven los datos

Hay tres clases de información dentro de ELYRA y cada una se trata distinto: lo que la gente escribe (conversaciones, adjuntos, lo que ELYRA recuerda de alguien), las credenciales (de los sistemas de negocio, de los canales y de los proveedores de inteligencia artificial) y la configuración (las capacidades, los canales, los textos). Este artículo recorre dónde vive cada clase, cómo se protege y cuándo desaparece.

Dónde está

La instalación corre en Microsoft Azure, en la región Central US (Estados Unidos). Las piezas:

Qué	Dónde	Cómo se protege
La base de datos (conversaciones, configuración, credenciales cifradas, registros)	Un servidor PostgreSQL gestionado por Azure	Solo acepta conexiones cifradas y solo desde el servidor de ELYRA. Copias automáticas de siete días a cargo del servicio.
Las sesiones en curso y la cola de trabajos	Una memoria en la misma máquina	Red interna, con contraseña, sin publicar hacia fuera. Perderla cuesta un ciclo de reintento, no una promesa: lo que ELYRA promete vive en la base de datos.
Los adjuntos que la gente envía	Un almacenamiento de paso en la máquina	Mueren al consumirse, y en todo caso caducan solos. Nunca entran en la base de datos.
El material que sube el cliente (logos, imágenes de campaña)	Una biblioteca en disco	Se revisa al subirse; el formato que no se puede inspeccionar no entra.

Léalo así: lo único que persiste es la base de datos; todo lo demás es memoria o paso, y se puede perder sin perder una conversación.

Cifrado

En tránsito

Todo el camino va cifrado. Está descrito en Transporte y certificados.

En reposo

El servicio gestionado de Azure cifra el disco de la base de datos. Encima de eso, ELYRA cifra por su cuenta lo más delicado: las credenciales de los sistemas de negocio, los tokens de los canales y las llaves de los proveedores de inteligencia artificial se guardan con cifrado autenticado (AES), con una llave que vive fuera de la base de datos, en la configuración de la instalación. Quien tuviera la base de datos sin esa llave tendría las credenciales como ruido.

Esa llave se puede rotar: la rotación vuelve a cifrar todo lo que estaba cifrado con la anterior, en una ventana corta de mantenimiento, y lo comprueba al terminar. Y si la llave falta o no es válida, ELYRA se niega a arrancar diciéndolo, en vez de inventarse una y arrancar con credenciales que nadie podría volver a leer.

Las contraseñas de las personas que entran al portal no se guardan en ningún sitio, ni cifradas. Lo que se guarda es una huella de un solo sentido: de la huella no se obtiene la contraseña, ni con la base de datos entera en la mano, porque el cálculo no se puede deshacer. Cada huella lleva además una sal propia, de modo que dos personas con la misma contraseña tienen huellas distintas y una tabla de huellas conocidas no sirve. El algoritmo es bcrypt, el estándar para este uso. Y en la puerta de entrada, un intento de adivinar una contraseña no llega a tocar la huella: lo frena antes el límite de intentos descrito en Quién entra y qué puede hacer.

Cuánto tiempo

Todo lo que la gente escribe lleva fecha de caducidad y se borra al vencer. Los plazos son por cliente y se ajustan desde el portal, entre un día y dos años; estos son los de fábrica.

Qué	Plazo de fábrica	Qué incluye
Lo que la gente escribe	60 días	Cada conversación terminada, mensaje a mensaje; las frases que nadie supo atender, lo que leyó la inteligencia artificial, el registro de salidas y el contexto que guarda un vigía.
Lo que ELYRA recuerda de alguien	90 días	El nombre o el dato que una conversación dejó guardado para la siguiente. Cada vez que se vuelve a guardar, el plazo empieza de nuevo.
Las conversaciones con una persona del equipo	90 días	Lo que se dijo mientras alguien del equipo atendía en vivo. Una conversación en la que atendió el equipo dura este plazo entero, no el anterior.
Los adjuntos	6 horas	El archivo en sí. Sobrevive su rastro: nombre, tipo y tamaño.

Léalo así: el plazo mínimo no es cero a propósito, porque una conversación en curso necesita lo que acaba de contarse; y el máximo existe porque «para siempre» es exactamente lo que estos plazos vienen a impedir.

Una conversación cuenta desde que termina: cuando ELYRA se despide o cuando la persona deja de escribir y pasa la ventana de retomada (48 horas de fábrica). Una conversación abierta nunca se borra. Cuando se borra, se van sus mensajes y todo lo que decía la persona; lo que es un número se queda sin nombre: la nota que dio, cuántas conversaciones hubo cada día (es lo que mide el plan) y la decisión que tomó ELYRA en cada paso, que pierde el hilo que la unía a alguien.

Tampoco caduca el consumo de la inteligencia artificial: cuántos tokens gastó cada llamada, con qué modelo y para qué uso. Son solo números y nunca llevan texto de nadie.

Lo que no caduca es el registro de lo que hace quien administra: quién cambió qué configuración y cuándo. Su valor está en que no se borra. Cuando una persona pide que se borren sus datos, ese registro se anonimiza: queda el hecho, no la identidad.

Los datos de una persona

El sujeto de los derechos de acceso y de supresión es la persona, no una conversación ni un número de teléfono. ELYRA tiene una agenda donde cada persona es una ficha y de ella cuelgan sus formas de hablar: su WhatsApp, su Telegram, su correo. Por eso «bórrame mis datos» tiene un destinatario claro. Y por eso mismo, cuando una dirección está vinculada a una persona, la conversación y lo que ELYRA recuerda son de la persona y no del canal (ver La persona es la llave).

Desde la ficha de la persona, en Personas, el administrador puede:

• Descargar todo lo suyo: una exportación con todo lo que ELYRA guarda de esa persona, de todas las tablas que la nombran.
• Borrar todo lo suyo: el borrado de esas mismas tablas, fila por fila, por lista explícita y no por cascada. La lista de lo que cuelga de una persona vive en un solo sitio del código, y la exportación y el borrado leen la misma, así que lo que se exporta es lo que se borra.

Las dos acciones piden un motivo breve antes de ejecutarse, y sin motivo no pasa nada: ni se descarga ni se borra. Las dos quedan en el registro de quién cambió qué con el administrador que las hizo, cuándo, el motivo y un recuento de lo que había (identidades, fichas, conversaciones), nunca el contenido. El registro de administración se anonimiza en vez de borrarse, como se explica arriba.

Las copias

Una copia que no se puede restaurar no es una copia. Por eso las copias de ELYRA se toman, se cifran y se ensayan.

• Salen cifradas. Cada copia se cifra con una frase que vive en la bóveda de secretos de la instalación, no en la copia. Sin la frase, el archivo es ruido. Si la frase no está configurada, no sale ninguna copia: es mejor no tener copia que tener una en claro.
• Llevan su manifiesto. Al lado de cada copia va un archivo que dice qué llaves hacen falta para que sirva y con qué huella, sin incluir ninguna llave. Así, antes de restaurar, se sabe si se va a poder.
• Llevan la biblioteca de material. Lo que tu empresa sube (logos, campañas, listas de precios) va en un segundo archivo de la misma copia, cifrado con la misma frase. El ensayo comprueba que están todos los archivos, y al restaurar vuelven a su sitio sin pisar nada de lo que haya.
• Se ensayan. La restauración se puede lanzar desde el plano de control sobre una base desechable, cronometrada por fase, y la verificación que manda es descifrar una credencial de verdad: comprobar que las filas están pasaría igual con la llave equivocada. El plano de control enseña cuándo fue el último ensayo y cuánto tardó, que es la pregunta que hace una auditoría.

Además, el servicio gestionado de Azure conserva sus propias copias automáticas de siete días.

Qué ve la inteligencia artificial

Cuando una capacidad usa inteligencia artificial para entender lo que la persona escribió, el proveedor y la llave son los del cliente: cada empresa elige su proveedor y pega su propia llave, que se guarda cifrada como las demás credenciales. Lo que viaja al proveedor es lo necesario para entender el turno; nunca una credencial de un sistema de negocio. Qué se le preguntó y qué contestó queda en el expediente de la conversación, que se puede leer en Auditar con EFEMERIS.