# Seguridad y confianza Cómo se protegen sus datos, su código y sus claves, y qué controles están en sus manos. Escrita para quien decide si confiar en Klarety, y para el administrador que lo configura. ## Dónde funciona Klarety [#dónde-funciona-klarety] - **Klarety funciona en AWS.** Sus Studios, consultas, agentes y aplicaciones se ejecutan allí. - **Sus tablas usan un formato abierto.** Nexus guarda las tablas en el formato abierto Apache Iceberg, así que sus datos nunca quedan atados a un formato que solo Klarety puede leer. - **Los Studios están aislados.** Cada Studio es seguro y aislado, con discos cifrados en reposo. - **Los secretos están cifrados.** Los secretos de los proyectos, las credenciales de las conexiones y los inicios de sesión de las herramientas de IA se cifran con un servicio de claves administrado. ## Los espacios de trabajo separan a los equipos [#los-espacios-de-trabajo-separan-a-los-equipos] Un espacio de trabajo tiene sus propios proyectos, datos, miembros y plan. No se comparte nada entre espacios de trabajo, aunque una persona pertenezca a varios. Al salir o ser quitado, pierde el acceso de inmediato. ## Los roles deciden quién puede hacer qué [#los-roles-deciden-quién-puede-hacer-qué] Cada miembro tiene un rol: **Propietario**, **Administrador** o **Miembro**. - Los propietarios y administradores dirigen el espacio de trabajo. Solo ellos cambian el plan, ven y gestionan las claves de API, ven cada movimiento de créditos, restauran o borran definitivamente, y activan agentes. - Los miembros trabajan en los proyectos y datos que se les han dado. Los proyectos tienen sus propias personas. El propietario del proyecto puede hacerlo todo, incluso eliminarlo. Un administrador del proyecto puede abrir su Studio, cambiar su configuración y administrar a sus personas. Quien tiene el rol de uso puede abrir el Studio. Vea [Miembros](/docs/es/workspace/members) y [Configuración del proyecto](/docs/es/projects/settings). ## Acceso a datos [#acceso-a-datos] Los propietarios y administradores siempre llegan a todos los datos. Para los demás, usted elige qué puede ver y cambiar cada persona en **Configuración, Acceso a datos**. El acceso se puede dar a un esquema, una tabla, una carpeta o una conexión, en uno de estos niveles: | Nivel | Qué puede hacer la persona | | --- | --- | | Saber que existe | Ver su nombre, nada más. | | Ver sus columnas | Ver su estructura, no sus filas. | | Leer sus datos | Consultar y leer las filas. | | Cambiar sus datos | Agregar, cambiar y borrar filas. | | Cambiar su estructura | Cambiar columnas y disposición. | | Dar este acceso a otros | Pasar el mismo acceso a otra persona. | El acceso puede tener fecha de fin, y puede **Quitar** el acceso en cualquier momento. Las carpetas del almacenamiento de objetos tienen su propio control de quién puede verlas. Vea [Acceso a datos](/docs/es/data/data-access). ## Confirme que es usted [#confirme-que-es-usted] Algunas páginas guardan secretos: las claves de un proyecto o la página donde crea una clave de API. Antes de mostrarlas, Klarety comprueba que de verdad es usted, aunque tenga la sesión abierta. Alguien frente a un computador desbloqueado no puede leer sus secretos ni crear claves. ## Sesiones [#sesiones] muestra cada dispositivo con sesión abierta en su cuenta y cuándo estuvo activo por última vez. Seleccione **Cerrar sesión** junto a cualquier sesión que no reconozca. ## Claves de API [#claves-de-api] Una clave de API permite que sus servidores y aplicaciones llamen a Klarety como el espacio de trabajo y gasten sus créditos, así que se protegen de cerca: - Solo los propietarios y administradores pueden ver y gestionar las claves, y crear una le pide confirmar que es usted. - Una clave se muestra una sola vez, al crearla. Cópiela en su propio almacén de secretos. - Cada clave tiene un **Nombre**, un nivel de **Acceso** y una fecha de vencimiento, así que solo hace lo que necesita y deja de funcionar en la fecha que usted elija. - Una clave usada desde una página web debe indicar sus **Orígenes del navegador**, y las claves de navegador solo pueden leer. - La clave no viaja con cada solicitud. Se cambia una vez por un token de una hora que se renueva cuando hace falta. - Un espacio de trabajo tiene un número limitado de claves activas. Para rotar, cree una clave nueva, pase su código a ella y luego revoque la anterior. **Revocar clave** detiene de inmediato todo lo que la usa. Pase primero su código a una clave nueva. Vea [Autenticación](/docs/es/developers/authentication). ## Sus inicios de sesión de IA son suyos [#sus-inicios-de-sesión-de-ia-son-suyos] En un Studio, cada persona puede usar su propia suscripción de Claude Code, Codex o Cursor. Inicia sesión una vez, en su propia terminal, y ese inicio de sesión lo sigue a cada proyecto. Se cifra con una clave que le pertenece a usted, se guarda fuera del Studio y solo se abre en el Studio donde está trabajando. Nadie más puede usarlo, ni siquiera en un Studio compartido. Use su suscripción solo como lo permiten los términos de su proveedor. Vea [Sus inicios de sesión de IA son privados](/docs/es/ai-harness/privacy). ## Secretos y la clave de la aplicación [#secretos-y-la-clave-de-la-aplicación] Los secretos del proyecto (tokens de API, contraseñas) se agregan en la configuración del proyecto y se cifran. Verlos le pide confirmar que es usted. Una aplicación desplegada llega a los datos del proyecto con una **clave de aplicación** que solo tiene la aplicación en vivo. Nunca se muestra, ni en la aplicación ni en el Studio. Si cree que se filtró, rótela: la clave anterior deja de funcionar al instante y la aplicación sale de nuevo con una clave nueva. Vea [Secretos](/docs/es/projects/project-secrets). ## Una persona aprueba lo importante [#una-persona-aprueba-lo-importante] - **Los agentes preguntan primero.** Un agente pregunta antes de cambiar algo importante, y sigue solo cuando usted elige **Sí, continuar**. Un agente en borrador no hace nada hasta que un administrador del espacio de trabajo lo activa. - **Los despliegues de la IA lo esperan.** Cuando una IA pide poner un proyecto en línea, nada se construye hasta que una persona selecciona **Aprobar y desplegar**. - **Usted decide el acceso a internet del Studio.** Al crear un proyecto elige si su Studio puede llegar a toda la web, solo a sus conexiones y los sitios que agregue, o a nada fuera de Klarety. Vea [Aprobaciones](/docs/es/deploy/approvals) y [Ejecuciones](/docs/es/agents/runs). ## Deshacer y restaurar [#deshacer-y-restaurar] Las tablas guardan su historial, así que puede volver a una versión anterior. Las tablas borradas se pueden restaurar por un tiempo, y los archivos borrados van primero a la papelera. Solo los propietarios y administradores pueden restaurar o borrar definitivamente. Vea [Deshacer y restaurar](/docs/es/data/undo-and-restore). ## Siguientes pasos [#siguientes-pasos] - [Miembros](/docs/es/workspace/members): invite a su equipo y defina roles. - [Acceso a datos](/docs/es/data/data-access): decida quién ve qué datos. - [Autenticación](/docs/es/developers/authentication): use claves de API desde código.