Seguridad de datos en REDA AI

Administrador Usuario Última actualización: 20 de octubre de 2026

Financiación y uso de IA

IA incluida utiliza créditos REDA. Traiga su propia IA utiliza la cuenta de proveedor de su organización, facturada directamente por ese proveedor. La licencia determina un modelo para toda la organización. En ambos, REDA AI controla las herramientas y acciones configuradas en Salesforce. Configure la licencia y las cuentas de IA.

La seguridad de los datos es un principio de diseño fundamental de REDA AI. Este artículo explica exactamente cómo maneja REDA AI tus datos de Salesforce, qué se envía al servicio de IA, qué se almacena y dónde, y los controles disponibles para mantener tus datos protegidos.

Principio clave: REDA no guarda ninguno de tus datos. Cada solicitud va directamente de tu organización de Salesforce al proveedor de IA; no hay ningún servicio alojado por REDA en el camino y REDA no recibe ninguna copia. Todo lo que REDA AI registra vive como registros de Salesforce en tu propia organización, bajo tu configuración de retención. El proveedor de IA procesa cada solicitud según sus propias condiciones publicadas: el proveedor principal no entrena con tu contenido y elimina las solicitudes en un plazo de 30 días de forma predeterminada.

¿Qué datos envía REDA AI al servicio de IA?

En ambos modelos, las solicitudes viajan desde Salesforce al proveedor de IA. Pueden incluir mensajes, prompts, contexto seleccionado, resultados de herramientas y documentos necesarios. Los datos enviados para procesamiento salen de Salesforce. El control de acceso en Salesforce no sustituye las condiciones de procesamiento, conservación ni contrato del proveedor.

Con su propia IA, revise las condiciones de cada proveedor y modelo. Las claves API se guardan en el almacén de credenciales de su organización Salesforce, no en prompts ni en un almacén alojado por REDA. La configuración de llamadas de Named Credential y External Credential Principal Access determina quién utiliza la conexión. Los agentes pueden utilizar su conexión seleccionada; las funciones administrativas y el procesamiento documental utilizan el valor predeterminado de la organización. Revise ambas rutas al aprobar proveedores.

Con IA incluida, el nivel de procesamiento y el acuerdo REDA rigen el procesamiento. Economy tiene sus propios requisitos de consentimiento y endpoint. Esas reglas no describen el modelo con cuenta propia. Consulte la configuración y los accesos.

Dónde se conservan sus datos

Conversaciones, mensajes, registros de uso y logs permanecen en su organización Salesforce bajo sus controles de acceso y conservación. Las solicitudes de IA van directamente al proveedor; REDA no mantiene un almacén intermediario para ellas. La conservación, el uso para entrenamiento y la residencia del proveedor dependen del acuerdo y la configuración aplicables. Con su propia IA rigen sus condiciones directas; no dé por hecho que se extienden los acuerdos de IA incluida de REDA.

¿Qué se almacena en tu organización de Salesforce?

Los siguientes registros se crean dentro de tu organización de Salesforce y permanecen bajo tu control total:

Tipo de registro	Qué almacena	Quién puede verlo
Registros de conversación	Metadatos de cada sesión de conversación: agente utilizado, usuario, hora de inicio/fin y un indicador del estado de contabilización de créditos.	Administradores (acceso total); usuarios (sus propias conversaciones, sujetas a las reglas de colaboración de Salesforce).
Registros de mensaje	El texto real de cada mensaje del usuario y de cada respuesta de la IA en una conversación.	Administradores (acceso total); usuarios (solo sus propios mensajes).
Registros de transacción de crédito	Una entrada de auditoría por cada interacción con la IA: créditos consumidos, tokens procesados, agente y vínculo a la conversación. No contiene datos de negocio de Salesforce.	Solo administradores (registros internos del paquete, no visibles para los usuarios finales).
Registros de incidentes	Eventos de error capturados por la plataforma: el mensaje de error, su contexto y un seguimiento de la pila. REDA AI no copia datos de registros en ellos de forma deliberada, pero un mensaje de error de la plataforma puede citar el valor que lo provocó (una regla de validación, un valor duplicado), así que trata los registros de incidentes como capaces de contener datos de negocio y restringe el acceso en consecuencia.	Solo administradores.

Retención y archivado de datos

Los registros de conversación y de mensaje se acumulan con el tiempo. REDA AI incluye un proceso de archivado automatizado, que se ejecuta a las 2:00 a. m. del día 1 de cada mes y elimina conversaciones, mensajes y transacciones de créditos una vez superada su ventana de retención. La retención se define globalmente en la Configuración de la plataforma y puede sobrescribirse por agente, con un mínimo de 60 días; un agente con Omitir archivado marcado nunca se archiva. Establecer el valor global en 0 desactiva el archivado por completo.

La actividad de archivado se registra en registros de Registro de archivo de IA que contienen los recuentos y totales de la ejecución más adjuntos CSV con las conversaciones, los mensajes y las transacciones de créditos eliminados. Léelos junto con el campo Detalles del error del registro, donde REDA AI anota cualquier CSV que haya alcanzado su tope de 50 000 filas. Consulta Registros de archivo de IA.

Modelo de seguridad de Salesforce

REDA AI opera por completo dentro del modelo de seguridad de Salesforce. Esto significa que:

Se respeta la seguridad a nivel de campo (FLS): si un usuario no tiene acceso de lectura a un campo de Salesforce, el agente no puede ver el valor de ese campo. Todas las consultas de las herramientas del paquete se ejecutan en el modo de usuario de Salesforce, y una llamada que llega sin nivel de aplicación se trata como modo de usuario, nunca como elevada.
Se aplican las reglas de colaboración de registros: si un usuario no puede ver un registro en Salesforce, el agente no puede recuperarlo ni referenciarlo para ese usuario.
Los conjuntos de permisos controlan quién puede usar el agente: solo los usuarios que tengan asignado el conjunto de permisos de REDA AI correspondiente pueden interactuar con la IA.

La única excepción: el contexto de ejecución

Una Definición de agente tiene un campo Contexto de ejecución. Con el valor Sistema, las herramientas de ese agente leen campos que el usuario que ejecuta no puede. Llegar a ese estado es deliberadamente difícil:

Se exigen ambas condiciones: el Contexto de ejecución debe ser Sistema y el Canal del agente debe ser API. Un agente interno, de comunidad o de widget externo no puede elevarse. El Contexto de ejecución es una lista de selección restringida y dependiente, así que el propio Salesforce rechaza la combinación ilegal al guardar el registro, y REDA AI se niega a elevar de todos modos.
La colaboración nunca se amplía. La elevación abarca únicamente los permisos de objeto y de campo. La visibilidad de los registros se aplica a nivel de clase, de modo que un agente elevado lee más campos de registros que ya podía ver: nunca puede alcanzar un registro que el usuario que ejecuta no pudiera ver.
Un prompt nunca puede provocarla. El nivel de aplicación procede exclusivamente de la configuración guardada por el administrador. Nunca se deriva de los argumentos de herramienta del modelo, del mensaje del usuario, del contenido de un registro, de un archivo cargado ni de un correo entrante, así que ninguna instrucción inyectada puede convencer a un agente de elevarse a sí mismo.

Si no has puesto el Contexto de ejecución en Sistema para un agente de API, todo lo dicho más arriba se cumple sin matices.

Si implementas el canal de widget externo en un sitio web público, el widget se protege mediante una clave de API que es única para cada agente. Esta clave:

La genera el administrador dentro de la aplicación de REDA AI.
Se muestra una sola vez en el momento de generarla; no se puede recuperar de nuevo. Guárdala de forma segura de inmediato.
No se almacena en ninguna forma recuperable. La Definición de agente guarda un hash SHA-256 unidireccional con una sal aleatoria por registro; la clave en sí nunca se escribe en tu organización. Por eso nadie puede recuperar una clave perdida, ni siquiera REDA: no está oculta, no está.
Se puede revocar en cualquier momento: si una clave se ve comprometida, puedes revocarla de inmediato y generar una nueva.

También puedes configurar una lista de Orígenes permitidos en la definición del agente, de modo que el widget solo acepte solicitudes de los dominios de sitio web específicos que tú controles.

Para conocer toda la orientación sobre la administración de claves de API, consulta Administración de claves de API.

Conectar agentes mediante MCP

MCP conecta un asistente aprobado con agentes activos seleccionados del canal Interno. Cada persona inicia sesión con su identidad Salesforce. El cliente recibe puntos de entrada de agentes, no herramientas y prompts individuales publicados como herramientas MCP. Configure un Sitio, una aplicación cliente externa, las asignaciones REDA AI User y REDA AI MCP User, y la activación del agente. Consulte la guía de administración y la guía de uso. Los datos pueden llegar al asistente y a los proveedores de IA configurados además de Salesforce. Revise datos y acuerdos; no se garantiza que la información nunca salga de Salesforce.

Comprender el cambio de créditos Económico

El uso ordinario del nivel Económico aplica ahora un multiplicador de 0,40 a la tarifa base de créditos. Con los mismos tokens y tarifas, un ejemplo de 100 créditos base consume 40 créditos Económico. Con el multiplicador anterior de 0,10 consumía 10: el débito es cuatro veces el anterior y un 60 % inferior al base. Cambia el consumo, no el precio de suscripción. La extracción previa de archivos se cobra por separado a tarifa completa. Una ruta alternativa del proveedor puede usar otro nivel efectivo; consulte la transacción real y no aplique 0,40 a toda operación mixta. Las transacciones nuevas registran Nivel de procesamiento; las anteriores no se rellenan retroactivamente. Económico exige consentimiento y una licencia/configuración compatible. Sin consentimiento, la solicitud se rechaza; no se procesa silenciosamente en otro nivel.

Preguntas frecuentes

El proveedor procesa fuera de Salesforce la información enviada. Revise sus condiciones de conservación, uso para entrenamiento y residencia para la cuenta y el modelo seleccionados. Los permisos y el archivado de Salesforce controlan los registros de su organización, no la conservación del proveedor. Consulte con su equipo jurídico o de cumplimiento los requisitos aplicables.

Cuando se ejecuta el lote de archivado (normalmente cada noche), identifica los registros de conversación más antiguos que el período de retención configurado en el agente y los elimina de tu organización. Se crea un registro de archivado como registro de auditoría. Si un agente tiene habilitada la opción Omitir archivado, sus conversaciones no están sujetas a la eliminación automática.

Sí. Controlas el acceso a los datos del agente mediante dos mecanismos: (1) los campos de contexto, que definen qué objetos y campos se cargan automáticamente como contexto; y (2) las herramientas, que definen qué objetos puede consultar o modificar activamente el agente. Solo son accesibles para el agente los objetos y campos que configures de forma explícita.