Seguridad y confianza

Última actualización: 4 de septiembre de 2026 (revisión 2). Esta página dice lo que ya verificamos sobre cómo operamos Q Company y sus siete productos. Publicamos menos cosas, pero ciertas: lo que todavía no comprobamos figura como pendiente, no como promesa. Los compromisos contractuales están en los Términos y Condiciones y en la Política de Privacidad.

Quién opera Q Company

• Q Company S.A.S., CUIT 30-71939258-6, Malvinas Argentinas 342, Ciudad Autónoma de Buenos Aires, Argentina.
• Es la contraparte legal, la marca, la que factura y la responsable frente al cliente de todos los productos: Q Company (hub), Qomunica, Qobra, Qontabiliza, Qontrata, Qapitaliza y Qautiva.
• Q Company, su equipo y su operación comercial están en Argentina; la infraestructura técnica se aloja en Estados Unidos (ver «Dónde están tus datos»).
• Contacto único para consultas comerciales, de privacidad y de seguridad: administracion@q-company.ar.
• Dirección: Federico Pronesti, fundador (carta del fundador). Denis Borovskoy, Director Tecnológico Interino desde febrero de 2026, proveniente de IT Oeste.

En qué etapa estamos y de dónde venimos

Beta pública desde septiembre de 2026. No empezamos desde una página en blanco:

1. Las herramientas de Q Company nacieron para resolver procesos reales del Instituto IEA y de los negocios propios del grupo, y se usaron en operación antes de convertirse en productos comerciales.
2. En febrero de 2026 empezamos a separarlas, generalizarlas y prepararlas para empresas externas. IT Oeste, software factory que sostiene los sistemas del Instituto IEA desde 2017, participó y participa en el desarrollo de la plataforma.
3. Q Company S.A.S. se constituyó el 15 de abril de 2026 como empresa responsable del producto y de la relación comercial.
4. En septiembre de 2026 abrimos la beta pública: el software tiene historia de uso interno en producción, pero esta es la primera etapa de uso abierto por empresas externas.

Qué significa «beta» en la práctica: seguimos validando onboarding, integraciones, soporte y operación multiempresa; algunas funciones pueden cambiar; no ofrecemos todavía un SLA contractual; hay 90 días de prueba gratis; podés exportar tus datos y darte de baja cuando quieras.

Dónde están tus datos

• Infraestructura: DigitalOcean, LLC, centro de datos SFO3 en San Francisco, California, Estados Unidos. Cada producto corre en su propio servidor; los DNS de los siete dominios también están en DigitalOcean.
• Los adjuntos de Qomunica se guardan en almacenamiento de objetos de DigitalOcean, en la misma región.
• Los sitios auxiliares se sirven desde Vercel y algunos dominios de la red de medios de Qautiva usan Cloudflare.
• Como los datos se alojan fuera de la Argentina, aplican las reglas de transferencia internacional de la Ley 25.326 descriptas en la Política de Privacidad.

Seguridad: lo que hay hoy

• Cifrado en tránsito: HTTPS/TLS en los siete sitios, paneles y API.
• Acceso: ingreso por código de un solo uso enviado al email; entre productos, tokens de inicio de sesión de un solo uso. En el hub, tres niveles de permiso: administrador, operador y sólo lectura; los productos con usuarios propios (por ejemplo Qobra) tienen sus roles. Vos decidís qué personas y qué agentes de IA acceden a tu cuenta y podés revocarlos.
• Separación entre empresas: la aplicación implementa separación lógica por empresa (cada cuenta ve sólo sus datos). La batería automática de pruebas entre empresas está pendiente de validación; hasta entonces no lo llamamos «aislamiento verificado».
• Acceso a la infraestructura: limitado a cinco cuentas nominales de Q Company y de IT Oeste, con registro de actividad en el panel del proveedor. Es distinto del registro de auditoría de acciones dentro de la aplicación, que figura más abajo como pendiente.
• Tus datos son tuyos: no usamos conversaciones, documentos ni datos cargados por los clientes para entrenar modelos ni para fines propios; sólo métricas de uso agregadas para operar el servicio, como describe la Política de Privacidad. La inteligencia artificial que opera el cliente funciona con la clave que vos cargás de tu propio proveedor (modelo «trae tu propia clave», plan Premium). No guardamos datos completos de tarjetas.
• Copias de seguridad: la infraestructura toma copias automáticas de los servidores. Publicaremos frecuencia, retención y objetivos de recuperación (RPO/RTO) cuando hayamos completado una prueba de restauración documentada.
• Disponibilidad: monitoreamos cada 15 minutos, con un servicio externo, que los siete sitios web respondan. Ese control no cubre todavía el inicio de sesión, la API ni el procesamiento de mensajes; por eso no publicamos una página de estado ni porcentajes de disponibilidad hasta medir esos recorridos.

Lo que no afirmamos todavía

No decimos «cifrado en reposo», «RPO/RTO», «99,9 % de uptime», «soporte 24/7», «infraestructura redundante», «pentest aprobado», «Meta Partner» ni «SOC 2» porque no lo verificamos o no corresponde a esta etapa. Cuando algo de esta lista esté comprobado, aparecerá arriba con fecha.

Exportación y baja

Los datos que cargás son tuyos. Podés pedir la exportación completa de tu cuenta en formatos de uso corriente y la baja por el mismo canal por el que te diste de alta; los plazos están en los Términos. Estamos trabajando para que ambas cosas se hagan desde el propio panel, sin pedirlas por email.

Proveedores

Separamos tres grupos, porque no todos tienen la misma relación con tus datos. La lista contractual vive en la Política de Privacidad; esta tabla la detalla y se actualiza cuando cambia.

1. Proveedores que operan el servicio por nuestra cuenta (subencargados)

2. Servicios que vos elegís y conectás (actúan bajo sus propios términos): Meta Platforms (WhatsApp Business Platform, con tu propia cuenta de WhatsApp Business), los adquirentes que contrates (Payway, Mercado Pago, Nave o Mobbex, según la lista vigente en el sitio de Qobra), ARCA, tu proveedor de inteligencia artificial (modelo «trae tu propia clave») y las redes sociales que vincules.

3. Medición de los sitios públicos (no tocan los datos de tu cuenta): Google Analytics y Google Fonts (Google LLC) en los siete sitios, y el píxel de Meta en algunos de ellos. Podés bloquearlos desde tu navegador sin afectar el servicio.

Qué estamos verificando ahora

Con nuestro equipo de desarrollo tenemos abiertas, con fecha, estas verificaciones: cifrado en reposo por componente, prueba de restauración de copias de seguridad, pruebas automáticas de separación entre empresas, protección de las claves y tokens que cargan los clientes, exportación integral desde el panel, registro de auditoría de acciones administrativas y sensibles (distinto de la traza de cada conversación del bot de Qomunica, que ya existe), archivo security.txt en los siete dominios, y la modalidad Coexistence de WhatsApp (usar el mismo número en la app y en Qomunica). Esta página se actualiza cuando cada punto queda comprobado.

Reportes de seguridad: si encontrás una vulnerabilidad, escribinos a administracion@q-company.ar con el asunto «Seguridad». Respondemos y no tomamos acciones contra quien reporta de buena fe.