Dossier de seguridad y cumplimiento

La versión corta

El paquete, campo por campo

Estos valores salen del paquete que puedes descargar. Puedes casarlos uno a uno con lo que te enseñe tu App Catalog.

La versión que apruebas es la que seguirá corriendo. Como el paquete es un motor y no un generador, tu equipo puede publicar cincuenta componentes sin un solo despliegue nuevo, sin un solo permiso nuevo y sin un solo ticket para ti. Lo que cambia es la configuración, nunca el código.

El único permiso — y todo lo que no es

La dirección de este permiso es la parte que casi todo el mundo lee al revés, así que conviene ser preciso: el token se emite hacia la API de Sharelio, no hacia tus datos.

El web part, corriendo dentro de tu tenant, pide a Entra ID un token dirigido a Sharelio y nos lo presenta para que sepamos qué organización pregunta. Nosotros verificamos la firma, la audiencia, el emisor y el id de tenant contra las claves públicas de Microsoft, y devolvemos la configuración de los componentes que ese mismo tenant publicó. No nos compra acceso a nada tuyo.

Permisos que Sharelio no pide

Esto no es una promesa sobre nuestro roadmap que haya que creerse: es comprobable hoy. El paquete declara sus solicitudes de permiso en el manifiesto, tu App Catalog te enseña la lista completa antes de que apruebes, y cualquier permiso que añadiéramos después aparecería ahí como una nueva aprobación pendiente que solo puedes conceder tú.

Sharelio no tiene identidad propia dentro de tu SharePoint

Sharelio sí escribe en tu tenant: puede crear la lista que una herramienta necesita, y sus componentes pueden abrir el formulario de alta de SharePoint. Así que la garantía que damos no es la débil («no escribimos») sino esta otra, más fuerte:

Todo lo que Sharelio hace dentro de tu SharePoint, lo hace como la persona que está delante de la pantalla, con sus permisos. No hay cuenta de servicio, ni identidad de aplicación, ni privilegio nuestro que escalar.

• Lecturas. Las filas las lee el navegador con la sesión de SharePoint del propio empleado. Quien no puede abrir una lista tampoco la verá a través de Sharelio, y las filas no viajan hasta nosotros.
• Escrituras. La provisión de listas corre con esa misma sesión, acotada al sitio actual. Si esa persona no puede crear listas ahí, Sharelio tampoco: SharePoint le dice que no exactamente igual que si lo hubiera intentado a mano.
• Nunca por sorpresa. Se enseña la lista completa de columnas y hay que pulsar un botón. Solo ocurre en modo edición de página: quien solo está viendo una página nunca provoca una escritura.
• Nunca destructivo. Si la lista existe se reutiliza, si faltan columnas se añaden, y una columna con el mismo nombre y otro tipo detiene la operación con un aviso: no se convierte ni se sobrescribe nada.

Si quieres descartar las escrituras del todo, no hace falta desinstalar nada: basta con no dar permisos de edición sobre el sitio. Sin ellos nadie puede colocar un web part, y sin colocarlo no hay nada que crear.

Qué sale de tu tenant y qué no sale nunca

Qué ve la IA

Los componentes los genera un modelo de lenguaje, así que es legítimo preguntar qué le llega exactamente. La descripción que escribe tu compañero y los nombres de listas y columnas. Nunca las filas.

El modelo no tiene —ni podría tener— acceso a tus datos: la generación ocurre en nuestro backend, que de entrada nunca tiene el contenido de tus listas. Y la salida tampoco es código: es una configuración JSON que se valida contra un esquema cerrado antes de guardarse, y que se rechaza de plano si no encaja.

• Proveedor: Anthropic (claude-sonnet-5), a través de su API comercial.
• Entrenamiento: según los términos comerciales de la API de Anthropic, los datos enviados a través de la API no se usan para entrenar modelos.
• Determinismo: devuelva lo que devuelva el modelo, solo puede guardarse y renderizarse lo que el esquema permite. El límite es el esquema, no el prompt.

Subencargados

Todos los proveedores que tratan datos por nuestra cuenta, con contrato de encargado de tratamiento. No vendemos ni cedemos datos a nadie más.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea.

Qué guardamos y cuánto tiempo

Para solicitar acceso, exportación o borrado, escribe a hola@sharelio.com. Respondemos en un plazo de 30 días.

Cómo verificar todo esto tú mismo

Nada de esta página te pide que te fíes. Todo es comprobable antes de aprobar nada, y sin cuenta de Sharelio.

1. Descarga el paquete. sharelio-host.sppkg, sin registro y sin login.
2. Comprueba su integridad. El SHA-256 que publicamos está en sharelio-host.sppkg.sha256. En Windows: Get-FileHash sharelio-host.sppkg -Algorithm SHA256. En macOS o Linux: shasum -a 256 sharelio-host.sppkg.
3. Ábrelo. Un .sppkg es un zip. Renómbralo y descomprímelo: los manifiestos llevan los ids de la tabla de arriba y la solicitud de permiso, y los assets de cliente llevan el JavaScript que se va a ejecutar.
4. Lee la solicitud de permiso en tu propio catálogo. Sube el paquete a tu App Catalog y mira «Acceso a API» antes de aprobar. La lista que ves ahí es la completa: no se puede pedir nada después sin que aparezca como una nueva aprobación pendiente.
5. Pídenos el esquema. El esquema JSON que acota lo que un componente puede describir está disponible a petición en hola@sharelio.com. Es cerrado: ni código, ni expresiones evaluables, ni HTML, ni URLs arbitrarias.

Lo que todavía no tenemos

Un dossier que solo enumera fortalezas no es un dossier. Sharelio es una empresa joven, y estos son los huecos que ibas a encontrar de todas formas:

• No tenemos certificación ISO 27001 ni SOC 2 propia. Nuestros proveedores de infraestructura tienen las suyas; nosotros todavía no tenemos la nuestra, y no vamos a insinuar lo contrario.
• No hay test de intrusión independiente publicado. Si vuestro proceso lo exige, decídnoslo y hablamos del alcance.
• No hay compromiso de soporte 24/7 fuera de un acuerdo Enterprise.

Lo que ofrecemos a cambio es aquello de lo que las certificaciones son un sustituto: una superficie lo bastante pequeña como para auditarla en una tarde. Un paquete, un permiso delegado de solo lectura, sin acceso a Graph, sin custodia de tus datos, y una desinstalación que deja tus listas exactamente como estaban.

Cómo quitarlo

• Quitar el permiso: Centro de administración de SharePoint → Avanzado → Acceso a API → seleccionar Sharelio → Quitar.
• Retirar el paquete: eliminarlo del App Catalog.

Los componentes dejan de renderizarse inmediatamente. Tus listas y sus datos quedan intactos, porque nunca salieron de tu tenant. Si lo que quieres es apagar un solo componente, TI no tiene que intervenir: se desactiva de forma centralizada desde el panel de gobierno de Sharelio.