La seguridad, en afirmaciones comprobables

El motor

Construido. Comprobable hoy.

• Un único motor determinista, compilado desde Rust a código nativo y a WebAssembly. Sin azar, sin pesos de un modelo y sin muestreo: la misma entrada, con el mismo estado de sesión, da la misma salida. Lo único que se arrastra es la memoria de sesión, que vuelve a tapar un nombre ya identificado antes en esa misma conversación aunque reaparezca suelto, y que se puede borrar. Ningún modelo de IA interviene en la detección.
• No tiene código de red. No es que prometamos que no llama a ningún sitio: es que dentro del motor no hay una sola línea capaz de abrir una conexión. Y no hace falta que se fíen, porque se ve en su propia consola. La demo instancia el módulo con un objeto de importaciones vacío, y un módulo de WebAssembly solo puede llamar a lo que se le entrega. A este no se le entrega nada, así que no puede abrir un socket, ni leer un fichero, ni mirar el reloj.

  WebAssembly.instantiateStreaming(fetch('/nonimo_core.wasm'), {})
    .then(m => console.log(WebAssembly.Module.imports(m.module)))
  
  // →  []   la lista de importaciones está vacía

  La demo de esta web ejecuta ese mismo motor dentro de su navegador. Al llegar a ella, la página pide un fichero más, nonimo_core.wasm, servido desde este mismo dominio y una sola vez, sumado a los suyos propios (el documento, los estilos, el icono y las tipografías, todos de aquí). Nada de lo que escriban provoca otra petición y ninguna sale hacia otro dominio. Abran el inspector de red y comprueben las dos mitades.
• El motor no escribe nada en disco. No tiene acceso a ficheros, y así se verificó línea a línea en la revisión de julio de 2026. El mapa que restaura los valores tapados reside en memoria y lo gestiona la aplicación que llama al motor; el motor no ofrece ninguna forma de guardarlo. Dos salvedades que preferimos decir nosotros: cualquier sistema operativo puede llevar la memoria de un programa al fichero de intercambio o al de hibernación, y por eso recomendamos cifrado de disco completo, que casi seguro ya tienen; y el panel de cumplimiento sí guardará en disco los recuentos que reciba, porque de ahí sale el informe mensual, en su servidor y con el periodo de conservación que fijen ustedes.
• La detección se decide por el nivel de prueba que tenemos. Lo que lleva dígito de control (DNI, NIE, número de la Seguridad Social, IBAN, tarjeta) se limpia solo. Lo que se encuentra por la posición o por las palabras de alrededor (nombres, direcciones, números de expediente) se tapa enseñándolo, con el motivo en una frase y con un clic para deshacerlo. Por defecto no se quita nada en silencio sin prueba aritmética. Dos cosas pueden cambiar eso, y las dos las deciden ustedes: los términos que carguen, que se tratan como los configuren, y el escalón de política que elija informática, que son cinco y van desde observar hasta bloquear, pasando por avisar, tapar enseñándolo y limpiar.
• Sin listas de nombres nuestras. No repartimos ningún diccionario de nombres ni de apellidos. Los nombres se encuentran por su posición: la etiqueta del impreso, la firma al pie, la fórmula de cortesía (don, doña, Sr., Sra.) delante del apellido, la columna de una tabla. Así la cobertura no depende de lo común que sea un nombre ni de su origen, que es justo donde fallan las listas y los modelos. La única lista que interviene es la suya: sus clientes y sus expedientes, cargados por ustedes, comparados en su equipo, y que nunca nos llegan.

Cuatro de las cinco afirmaciones de arriba se comprueban desde el navegador, en la demo o en la consola. La quinta, la del disco, se comprueba leyendo el binario, y se lo damos para que lo lean.

Qué saldrá de cada ordenador

En desarrollo. De las piezas del producto solo existe el motor. Lo que sigue es el compromiso de diseño, escrito antes de construirlas para que puedan reprochárnoslo después.

• De la aplicación gratuita no saldrá nada, salvo que enciendan el informe de cobertura del punto siguiente. No habrá cuenta ni telemetría, y la detección no necesitará conectarse a ningún servidor nuestro, ni siquiera para actualizarse.
• El informe de cobertura opcional manda formas, no valores. Sirve para mejorar la detección y dice, por ejemplo, que algo con forma AAA-9999-99999 apareció 37 veces detrás de la palabra «pedido»: las letras pasan a A, los dígitos a 9. Tiene tres candados: no viaja el valor, no viaja ninguna palabra que no hayamos puesto nosotros, y hay un umbral de repetición por debajo del cual no se apunta nada. Esta parte del motor sí está construida, y conviene el matiz exacto: el motor no envía el informe, solo lo prepara. Quien lo mandaría es la aplicación de fuera, con permiso, y vendrá apagado por defecto.
• De la versión de equipo saldrán recuentos y categorías. Un evento del panel llevará cinco campos: fecha y hora, identificador del equipo, recuentos por categoría, versión de la política y acción tomada. No llevará el texto, ni los valores, ni la dirección de destino, ni lo que la persona escribió en la herramienta de IA. Si ese identificador se puede atribuir a una persona concreta lo deciden ustedes al desplegar: seudónimo por defecto, y nominal solo si lo configuran así.

Cómo se desplegará

También en desarrollo. Esto es cómo se instalará y, sobre todo, qué no hará, para que informática lo evalúe antes de que exista.

• Extensión de navegador, instalada por política (Chrome, Edge). Se activará solo en las herramientas de IA que ustedes autoricen y no leerá páginas fuera de esa lista. Dentro de ellas leerá lo que se escriba o se pegue, para limpiarlo antes de que salga, y nada más. Sin interceptar SSL, sin proxy, sin capturar tráfico, sin registrar pulsaciones de teclado y sin historial de navegación.
• Aplicación de escritorio sin controladores de núcleo ni extensiones del sistema. Lo que no se instala en el núcleo del sistema operativo tampoco puede tumbarlo en una actualización.
• Panel como contenedor en su infraestructura. No podremos alcanzarlo: no necesitará ningún acceso entrante desde nosotros y no tendremos credenciales. Las actualizaciones serán imágenes que ustedes se descargan y despliegan cuando quieran, firmadas y con su huella publicada, para que puedan comprobar que salieron de aquí. Qué salida a internet necesitará el contenedor está sin cerrar: si acaba habiendo una comprobación de licencia, será eso y nada más, y estará escrito en esta página antes de que el panel exista. Y si algún día un caso de soporte necesita que miremos algo, la sesión la abren ustedes, delante de su gente, el tiempo que decidan, y no nos quedamos con copia. Eso irá en el contrato, no solo aquí.

Sector público: el ENS y su expediente

Nonimo no está certificado en el Esquema Nacional de Seguridad, ni en la ISO 27001, ni figura en el catálogo CPSTIC del Centro Criptológico Nacional. No tenemos ninguna certificación. Lo decimos aquí, en la página que se lee antes de llamarnos, y no en la letra pequeña de un pliego.

Lo que sí tenemos es una arquitectura que acorta su expediente. El motor se ejecuta en cada puesto y el panel se instalará en su infraestructura o en la de su integrador, así que no hay ningún sistema nuestro que meter en el alcance de su ENS. Lo que hay que evaluar son equipos y servidores que ya son suyos, que ya están categorizados y que ya tienen su declaración de aplicabilidad. Nonimo entra ahí como un producto más dentro de un sistema existente, no como un servicio prestado desde fuera. El motor no abre conexiones, así que del producto no sale ningún flujo de datos hacia un tercero que haya que documentar. Dos excepciones, y las decimos nosotros antes de que las encuentren. La primera: los correos que nos escriban sí salen de la Unión Europea, porque nuestro buzón está en Australia, y eso está contado en privacidad. La segunda: si alguien enciende el informe de cobertura del que hablamos más arriba, ese envío existe y también acaba en Australia, así que tendrá que aparecer en su documentación aunque lo que viaje sean formas y no valores. Con el informe apagado, que es como vendrá de fábrica, el producto no saca nada de su casa.

El matiz importa, y por eso lo escribimos en vez de dejar que suene mejor de lo que es: el Real Decreto 311/2022 sí alcanza a los sistemas del proveedor cuando el proveedor presta el servicio, y los pliegos lo incorporan como cláusula. La ventaja aquí no es un tecnicismo a nuestro favor, es que en este montaje no hay sistema del proveedor. Lo que no les quita ningún deber: siguen teniendo que categorizar su sistema, revisar su análisis de riesgos y dejar constancia de la incorporación del producto.

Nuestra posición, dicha como posición y no como sentencia, es que no somos ni responsable ni encargado del tratamiento de los datos que pasan por el motor: no los recibimos, no los almacenamos y no tenemos forma de llegar a ellos. Si su delegado de protección de datos o su integrador lo ven de otra manera, no lo discutimos: firmamos igualmente el contrato de encargo del artículo 28 del RGPD, con su lista de subencargados, que hoy está vacía para el producto.

Lo que les entregamos para el expediente, a petición, sin formulario y sin demostración obligatoria de por medio:

• Ficha técnica del producto y del despliegue, con los flujos de datos dibujados.
• Análisis de riesgos del despliegue.
• Apoyo para su evaluación de impacto (EIPD) si la necesitan, con la parte que depende del producto ya redactada. Conviene contar con que va a hacer falta: la observación sistemática de personas trabajadoras está en la lista de la AEPD de tratamientos que exigen la evaluación del artículo 35 del RGPD.
• Contrato de encargo del artículo 28 firmado, si el reparto de papeles de su despliegue lo exige.
• Plantilla de política interna de uso de dispositivos digitales y el texto de la comunicación a la plantilla.

Si un pliego exige certificación del propio proveedor en el ENS o presencia en el catálogo CPSTIC, hoy no podemos concurrir. Se lo decimos antes de que gasten tiempo, no después de la mesa de contratación.

Quien firma: Llevant Group Pty Ltd, ABN 17 691 906 751, 1 Bruce Street, Kensington VIC 3031, Australia. No tenemos establecimiento en la Unión Europea. Contacto: [email protected].

Antes de desplegarlo, lo que les toca a ustedes

El panel registrará recuentos por categoría y por equipo, así que el día que se despliegue esto es, en España, una medida de control de la actividad laboral, con todo lo que eso lleva detrás. El artículo 20.3 del Estatuto de los Trabajadores permite adoptar las medidas de vigilancia y control que se estimen oportunas, pero guardando la consideración debida a la dignidad de la persona trabajadora. Y el artículo 87 de la LOPDGDD pide fijar los criterios de uso de los dispositivos digitales con la participación de la representación de los trabajadores, e informar a la plantilla antes y de forma expresa, no en un anexo que no lee nadie.

Que la medida sea proporcionada es lo que hay que argumentar delante del comité de empresa o de la junta de personal, y Nonimo está diseñado para que ese argumento sea fácil: el panel recibirá recuentos y no texto, no verá lo que la persona escribió, y el identificador del equipo puede quedarse en seudónimo. Se prueba que el control estaba puesto sin leerle el trabajo a nadie.

Esa comunicación no la tienen que redactar ustedes. Va con la documentación del despliegue, junto con la plantilla de política interna.

Un despliegue que se salta este paso se puede tumbar entero, y descubrirlo tarde hunde el proyecto. Preferimos decirlo aquí y frenar una venta rápida.

Esta web

Un producto que existe para que los datos de otros no se escapen tiene que aplicarse la misma regla. Esto es lo que lleva esta web, medido el 30 de julio de 2026 contra el sitio desplegado:

• Política de seguridad de contenidos en firme, no en modo observación, sin comodines y sin un solo host externo: default-src 'self', script-src 'self' 'wasm-unsafe-eval', connect-src 'self', object-src 'none', frame-ancestors 'none', form-action 'none' y base-uri 'self'. El único origen de scripts permitido es este dominio, y la página no puede abrir una conexión a ningún otro sitio ni aunque alguien consiguiera meterle código.
• Las tres relajaciones, dichas por nosotros. 'wasm-unsafe-eval' está porque sin ella el motor que se ejecuta más arriba no llega a instanciarse y la demo muere. style-src admite estilos en línea, porque nuestra compilación incrusta una hoja de estilos dentro de la propia página. Y img-src admite además URIs data:, hoy sin usar ninguna, por si algún día entra un icono en línea. Son relajaciones de verdad y las van a encontrar igual: mejor que se las contemos nosotros.
• X-Frame-Options: DENY y frame-ancestors 'none', los dos al mismo valor, porque esta web no se embebe en ningún sitio. Más Permissions-Policy negando cámara, micrófono, ubicación y pagos, que no pedimos ni vamos a pedir. nosniff y strict-origin-when-cross-origin las envía Cloudflare Pages por su cuenta; lo comprobamos antes de dejar de escribirlas nosotros, para no acabar con la misma cabecera puesta dos veces.
• Sin cookies, sin analítica y sin peticiones a terceros. Ni una cookie, y por eso tampoco hay banner. Nuestro alojamiento nos ofrece analítica gratuita y sin cookies, y dijimos que no, porque encenderla mete un script de otro servidor, que es justo lo que esta página promete que no hacemos. Quién toca qué está en privacidad: la web la sirve Cloudflare Pages y el correo está en Google Workspace, región Australia.

No hace falta que se fíen: pásennos un analizador de cabeceras y comparen el resultado con el de cualquier otro producto de seguridad que estén mirando.

Lo que no vamos a afirmar

• Ni una certificación. Ninguna: ni ENS, ni ISO 27001, ni CPSTIC, ni SOC 2. Somos una empresa nueva y esas auditorías cuestan más de lo que tenemos. Lo que hacemos en su lugar está arriba: una arquitectura que reduce el alcance, el motor revisado línea a línea y la oferta de que lo revise su equipo. Y contestamos cualquier cuestionario de seguridad que nos manden. Si para ustedes una certificación es requisito duro, díganlo ahora y les decimos con franqueza si llegamos a tiempo o no.
• Ni una cifra única de acierto, porque no existe: depende del idioma y del tipo de documento, y quien le dé un solo número le está vendiendo el número, no la medición. Lo que damos son las mediciones, cada una con su corpus y su fecha. Estas son las del 30 de julio de 2026:
  • cero falsos positivos en 37.126 palabras de texto administrativo real;
  • cobertura 1,0000 sobre un documento oficial español y 1,0000 sobre una resolución de un tribunal australiano;
  • cobertura 0,9048 sobre documentos de empresa con membrete;
  • acierto 0,4375 sobre texto narrativo, prosa corrida sin etiquetas ni estructura. Es el peor número que tenemos y lo publicamos igual: ahí es donde el método de buscar el hueco tiene menos de dónde agarrarse;
  • 378 pruebas automáticas en verde en cada compilación;
  • 210.533 bytes de motor en el navegador, unos 206 KB, y 8,0 ms para analizar 19 KB de texto, con un crecimiento lineal de 0,70 ms por KB.
  Un número medido en un idioma no dice nada del otro, así que los dos mercados se miden por separado, siempre.
• La revisión de seguridad del motor no fue una auditoría independiente. Fue interna y adversaria, en julio de 2026: un lector por fichero, un verificador que intentaba tumbar cada hallazgo, 49 hallazgos brutos, 13 refutados y 36 confirmados y arreglados. Está bien hecha y no es lo mismo que un tercero acreditado, así que no la vamos a llamar auditoría.
• Y esto no es asesoría jurídica. Describe cómo está construido el producto y qué obligaciones activa desplegarlo, para que su delegado de protección de datos y su asesoría decidan con los datos delante. Quien firma el expediente son ustedes.

Hablar con nosotros

¿Tienen preguntas de seguridad, o quieren que su equipo revise el motor? Escriban a [email protected]. Lo de revisar el motor es una oferta de verdad: se lo damos para que lo lean.

Y si prefieren medirlo ustedes antes de hablar con nadie, peguen en la demo un documento que puedan compartir sin problema: una resolución publicada, un impreso en blanco, una carta vieja con los nombres cambiados. No hace falta registrarse, y lo que peguen no sale de su navegador.

¿Han encontrado una vulnerabilidad? Escriban a [email protected]. Acusamos recibo en dos días laborables y les decimos qué vamos a hacer y cuándo. Nunca iremos contra quien informe de buena fe, y si quieren el crédito, se lo damos. Si alguna vez hubiera un incidente que les afectara, se lo contamos en menos de 24 horas desde que lo sepamos. Menos de 24 y no 72 a propósito: las 72 horas para notificar a la AEPD son suyas y necesitan margen dentro de ellas.

Última revisión de esta página: 30 de julio de 2026. Cuando cambia el producto, cambian la página y la fecha.