# Seguridad y cumplimiento - GateLLM > Seguridad y cumplimiento de GateLLM: autoalojado, las claves BYOK nunca salen de su red, RGPD/CCPA/DPA, SSO empresarial, facturación tolerante a fallos y auditoría. Canonical: https://www.gatellm.io/es/security/ ## Seguridad y cumplimiento Seguridad, privacidad y cumplimiento para compras empresariales. Totalmente autoalojado; los datos nunca salen de su red. ### Los datos nunca salen de su red Con BYOK, las claves de API viven solo en la memoria del gateway y nunca se persisten ni se transmiten. Las solicitudes pasan por el gateway directamente a las API de los proveedores; los datos permanecen dentro de su red privada de extremo a extremo. GateLLM no almacena, no entrena con ni pone en caché el contenido de las solicitudes. ### Seguridad del transporte y de las claves TLS 1.3 de extremo a extremo. Claves solo en memoria; al reiniciar, se inyectan desde sus secretos y nunca desde el disco. Control de admisión de clientes: filtre por User-Agent con políticas diferenciadas. ### Cumplimiento empresarial Listo para RGPD / CCPA / DPA. Controles alineados con SOC 2 Type II / ISO 27001 (certificación en preparación). SSO (OIDC: Azure AD / Okta / genérico, más SAML 2.0 + SCIM 2.0). ### Auditoría y corrección de la facturación Registros de auditoría a nivel de solicitud, exportables a los sistemas internos de operaciones y facturación. Facturación tolerante a fallos: reservar → liquidar → reembolsar; la facturación sigue siendo correcta ante caídas del proceso gracias a un libro de movimientos en curso y a la auditoría por solicitud. API de gestión para administrar programáticamente cuotas, presupuestos, uso y costo. ### Capas de la arquitectura de seguridad (resumen del libro blanco) Capa de red: el proceso del gateway se despliega dentro de su VPC o centro de datos local; el tráfico entrante y saliente lo controlan los grupos de seguridad o las políticas de red que usted configure; las solicitudes van directamente a las API oficiales de los proveedores de modelos downstream, sin pasar por ningún servidor de relé del Procesador. Capa del proceso del gateway: diseño sin estado; las claves se cargan desde la configuración cifrada en memoria y nunca se persisten; cualquier réplica puede atender cualquier solicitud, lo que permite escalado horizontal y conmutación por error instantánea; al reiniciar, las claves se vuelven a inyectar desde sus secretos. Capa de claves: las claves BYOK de los proveedores de modelos viven solo en la memoria del proceso del gateway, nunca se escriben en almacenamiento persistente y el personal de operaciones no puede leerlas en texto claro; el control de admisión de clientes filtra por User-Agent con políticas diferenciadas. Capa de datos: los prompts y las finalizaciones en tiempo de ejecución no se persisten en los sistemas del Procesador (se reenvían en memoria, no se persisten); los datos de cuenta y licencia en reposo están cifrados con AES-256; la política de retención de los registros de auditoría la determina su equipo de operaciones. Capa de facturación: facturación tolerante a fallos (reservar → liquidar → reembolsar), que sigue siendo correcta ante caídas del proceso gracias a un libro de movimientos en curso y a la auditoría por solicitud. ### Correspondencia con las preocupaciones del CISO Preocupación por un acceso excesivo a la IA: GateLLM la aborda con un despliegue totalmente autoalojado + BYOK; las claves y los prompts nunca salen del límite de su red; usted controla por completo qué modelos usar y a qué proveedor enrutar, sin IA oculta ni subencargados invisibles (consulte la Lista de subencargados). Datos usados para entrenamiento: el Procesador no entra en contacto con los datos de los prompts; si un proveedor de modelos downstream entrena o no lo determina su política, que puede revisar en la matriz de uso de datos de la Lista de subencargados antes de contratar: totalmente opcional. Transferencias internacionales: los datos de cuenta del Procesador se transfieren a terceros países mediante SCC / IDTA; las transferencias a proveedores downstream las realiza usted directamente con las garantías adecuadas (Sección 11 del DPA). Fuga de claves: las claves viven solo en memoria y nunca se persisten ni se transmiten; el SSO delega el MFA y la gestión de sesiones a su IdP existente, de modo que las credenciales no se fragmentan. ### Pruebas de penetración y gobernanza de vulnerabilidades Las pruebas de penetración independientes por terceros de GateLLM están en preparación (el alcance y las reglas del ejercicio ya están listos), cubren el proceso del gateway, la autenticación y autorización, las Edge Functions, el gateway de API y las rutas de gestión de claves; se publicará un resumen en la Sección 7 de la Política de divulgación de vulnerabilidades una vez completadas. Política de divulgación responsable de vulnerabilidades: reporte a security@gatellm.io (con soporte PGP), acuse de recibo en 24 horas y remediación según la severidad CVSS (Crítica 7 días / Alta 30 días / Media 60 días / Baja 90 días). Se proporciona una lista de materiales de software (SBOM); las dependencias se analizan con regularidad en busca de vulnerabilidades conocidas y los parches de seguridad se anotan con sus ID de CVE en el registro de cambios. - RGPD - CCPA - DPA - Controles alineados con SOC 2 - Controles alineados con ISO 27001 ## Documentos de confianza y cumplimiento ### Acuerdo de procesamiento de datos (DPA) Mapeo del Art. 28(3) del RGPD, SCC/IDTA para transferencias internacionales, notificación de cambios de subencargados y particularidades del flujo de datos de un gateway de LLM ### Lista de subencargados Matriz de uso de datos de más de 100 proveedores de modelos downstream, sin IA oculta, suscripción a cambios ### Biblioteca de cuestionarios de seguridad CAIQ / SIG / VSA respondidos de antemano, que comprime la respuesta a cuestionarios de días a horas ### SLA y respuesta a incidentes Proceso de respuesta a incidentes P1-P4, niveles de servicio de soporte, mantenimiento del servicio de licencias y guía de despliegue de alta disponibilidad del gateway ### Política de divulgación de vulnerabilidades Divulgación responsable, SLA de respuesta, comunicación con PGP y resumen de pruebas de penetración ### Aviso de licencias de código abierto Componentes y licencias de código abierto de la distribución, SBOM, límite de licencias de los SDK BYOK y atribución ### Soporte de versiones y ciclo de vida Ventanas de soporte N-1/LTS, retroportaciones de parches de seguridad, ruta de actualización y notificación de EOL ## Relacionado - [Inicio](https://www.gatellm.io/es/index.md) - [Precios](https://www.gatellm.io/es/pricing.md) - [Calculadora de costos](https://www.gatellm.io/es/calculator.md) - [Acerca de](https://www.gatellm.io/es/about.md) - [Reservar una demo](https://www.gatellm.io/es/demo.md) - [FAQ](https://www.gatellm.io/es/faq.md) - [Comparar gateways de IA](https://www.gatellm.io/es/compare.md) - [Comparar LiteLLM](https://www.gatellm.io/es/compare/litellm.md) - [Comparar OpenRouter](https://www.gatellm.io/es/compare/openrouter.md) - [Comparar Alibaba Cloud AI Gateway](https://www.gatellm.io/es/compare/alibaba-cloud.md) - [Comparar Azure API Management](https://www.gatellm.io/es/compare/azure-apim.md) - [Comparar Apigee](https://www.gatellm.io/es/compare/apigee.md) - [Comparar Cloudflare AI Gateway](https://www.gatellm.io/es/compare/cloudflare.md) - [Comparar Kong AI Gateway](https://www.gatellm.io/es/compare/kong.md) - [Comparar Portkey](https://www.gatellm.io/es/compare/portkey.md) - [LiteLLM vs Kong AI Gateway](https://www.gatellm.io/es/compare/litellm-vs-kong.md) - [LiteLLM vs OpenRouter](https://www.gatellm.io/es/compare/litellm-vs-openrouter.md) - [LiteLLM vs Portkey](https://www.gatellm.io/es/compare/litellm-vs-portkey.md) - [Casos de uso](https://www.gatellm.io/es/use-cases.md) - [Reducir el costo de LLM](https://www.gatellm.io/es/use-cases/reduce-cost.md) - [Alta disponibilidad](https://www.gatellm.io/es/use-cases/high-availability.md) - [Aislamiento multiusuario](https://www.gatellm.io/es/use-cases/multi-tenant.md) - [Cumplimiento y auditoría](https://www.gatellm.io/es/use-cases/compliance-audit.md) - [Solución de problemas por síntoma](https://www.gatellm.io/es/use-cases/troubleshooting.md) - [Stack de modelos multivendor](https://www.gatellm.io/es/use-cases/mixed-model-stack.md) - [IA autoalojada dentro de Office](https://www.gatellm.io/es/use-cases/self-hosted-office-ai.md) - [Visibilidad y atribución del uso de tokens](https://www.gatellm.io/es/use-cases/token-ops.md) - [Token FinOps: asignación y control del costo de IA](https://www.gatellm.io/es/use-cases/token-finops.md) - [Gobernanza de herramientas MCP](https://www.gatellm.io/es/use-cases/mcp-tool-governance.md) - [Búsqueda web para todos los modelos](https://www.gatellm.io/es/use-cases/web-search-grounding.md) - [Rotación y respaldo multi-clave](https://www.gatellm.io/es/use-cases/multi-key-pooling.md) - [Control de admisión de clientes](https://www.gatellm.io/es/use-cases/client-admission-control.md) - [Aplicar la política de uso de modelos](https://www.gatellm.io/es/use-cases/enforce-model-policy.md) - [Sin elección de modelo en el cliente](https://www.gatellm.io/es/use-cases/automatic-model-tiering.md) - [Un protocolo, cualquier modelo](https://www.gatellm.io/es/use-cases/one-protocol-any-model.md) - [Complemento para Office / Microsoft 365](https://www.gatellm.io/es/office-addin.md) - [Glosario](https://www.gatellm.io/es/glossary.md) - [Catálogo de modelos](https://www.gatellm.io/es/models.md) - [Integraciones de SDK y frameworks](https://www.gatellm.io/es/integrations.md) - [Agentes de código IA y harnesses](https://www.gatellm.io/es/coding-agents.md)