No prestamos.
Advanta origina, verifica y gestiona. No presta, no fija el precio, no decide el crédito ni custodia el dinero.
Hecho · company.role
Seguridad, evidencia y datos, tal como son.
Cómo la plataforma protege los datos, guarda evidencia que su auditor puede recalcular y se mantiene disponible. Cada afirmación viene de nuestro registro de hechos.
Cada afirmación de esta página viene de nuestro registro de hechos y se comprueba en la plataforma en producción antes de cada versión.
[01] Quiénes somos
Advanta es software. No presta.
[02] Seguridad
Reglas que impone la base de datos, no la pantalla.
Seguridad a nivel de fila en todas las tablas.
Todas las tablas de la base de datos de la plataforma tienen seguridad a nivel de fila. Los dos roles que puede usar un navegador solo escriben en una tabla donde una regla a nivel de fila se lo permite, y ninguna función de disparador puede llamarse desde fuera. Un autocontrol nocturno pide a la base de datos las excepciones y no debe encontrar ninguna.
Hecho · security.least_privilege
Acceso con doble factor para financiadores.
Un financiador entra con una contraseña y una app de autenticación. La base de datos niega los datos del financiador a una sesión que no ha introducido un código, y las funciones de servidor que actúan por un financiador comprueban lo mismo, preguntando a la base de datos en nombre de quien llama.
Hecho · security.mfa
Reglas de financiación en la base de datos.
Las reglas de financiación se aplican en todos los caminos de la app, la API y la consola del equipo. Ninguna pantalla y ninguna llamada a la API pueden saltárselas.
Hecho · gate.db_session
Cada financiador ve solo sus solicitudes.
Un financiador ve solo las solicitudes que se le han asignado o sobre las que ya ha actuado. Es seguridad a nivel de fila en solicitudes, ofertas, facturas y certificados, no un filtro de pantalla.
Hecho · funder.isolation
[03] Dónde están sus datos
En la UE, en Irlanda.
Cada subencargado, qué hace y dónde, está en nuestra página de subencargados; cómo usamos los datos personales está en nuestra política de privacidad.
Alojado en la UE.
Todos los datos de la plataforma se guardan en la UE: Supabase en AWS, en Irlanda (eu-west-1), con los datos de cada empresa separados por seguridad a nivel de fila.
Hecho · hosting.region
[04] Evidencia
Registros que su auditor puede recalcular.
Las raíces publicadas y sus sellos de tiempo están en la página de evidencia.
Un registro de evidencia encadenado por hash.
Cada entrada del registro de evidencia de las cesiones lleva el SHA-256 de su propio contenido y el hash de la entrada anterior. Su auditor puede recalcular la cadena entera.
Hecho · evidence.cession_chain
Sellado cada noche.
Cada noche las entradas del día se sellan en una raíz que lleva la raíz del día anterior, cada día desde el 17 de septiembre de 2026.
Hecho · evidence.cession_anchors
También el programa de comprador.
El registro de auditoría del programa de comprador también está encadenado por hash, una cadena por comprador, y se sella cada noche en una raíz que lleva la del día anterior.
Hecho · evidence.buyer_audit_log · evidence.buyer_anchors
Sello de tiempo de dos autoridades externas.
Cada día las raíces selladas ese día se publican, sin datos de empresas ni datos personales, y reciben un sello de tiempo de DigiCert y Sectigo (RFC 3161). Cualquiera puede comprobar un token con openssl ts -verify.
Hecho · evidence.external_timestamp
Certificados de solo lectura.
Los certificados de aceptación son de solo lectura para vendedores, compradores y financiadores: ningún camino de la plataforma inserta, edita ni borra uno. Su estado solo cambia con el ciclo de la notificación, y cada cambio queda escrito en el registro de evidencia.
Hecho · evidence.certificates_read_only
[05] Resiliencia
Ensayado, vigilado y registrado.
Una restauración completa, ensayada.
El 26 de septiembre de 2026 restauramos una copia completa de la base de datos de producción en un contenedor aislado, sin red. Tardó 7,1 segundos, las 284 tablas coincidieron todas con el origen y las dos cadenas de evidencia se verificaron en la copia. El ensayo está programado para repetirse el día 1 de cada mes.
Hecho · ops.restore_drill
Cada servicio comprobado cada 5 minutos.
8 comprobaciones cubren la app de empresas, el portal del financiador, las páginas de los deudores, las notificaciones de cesión, la API para financiadores y la web. Dos comprobaciones fallidas seguidas abren una incidencia y avisan a nuestro equipo de operaciones; la página de estado pública muestra 6 componentes y el historial de incidencias.
Hecho · ops.monitoring
Cada interruptor, con quién y por qué.
Nuestro equipo de operaciones ve todos los interruptores de la plataforma en una sola página, con quién cambió cada uno por última vez, cuándo y por qué. Un cambio hecho ahí exige un motivo por escrito y queda registrado en la cadena de evidencia.
Hecho · ops.switches_board
[06] Privacidad
Una regla de conservación para cada registro personal.
Conservación por regla.
Un motor de conservación tiene 63 políticas, que cubren todos los tipos de registro con datos personales, y una prueba falla si una tabla con datos personales no tiene ninguna. Los registros técnicos, las sesiones, los datos de analítica y los archivos temporales se borran en su plazo, y lo que llega al buzón de facturas de una empresa se borra 90 días después de llegar.
Hecho · privacy.retention
Bloqueo legal y supresión.
Un bloqueo legal detiene cualquier borrado. Una solicitud de supresión conserva solo los registros que exige la ley, para la prevención del blanqueo de capitales y la contabilidad, con acceso restringido.
Hecho · privacy.retention
[07] Control de cumplimiento
Contrastado con las listas oficiales, cada día.
Control de sanciones, actualizado cada día.
Cada empresa, su representante y sus titulares reales, los deudores de sus solicitudes y los proveedores de un programa de comprador se contrastan con las listas oficiales de sanciones de la UE, la ONU, el Reino Unido y EE. UU. (4 listas), descargadas cada día en nuestra propia base de datos. Una lista sin actualizar desde hace 48 horas cuenta como no disponible, así que el control falla en cerrado, y una posible coincidencia detiene la asignación, las ofertas y la financiación hasta que una persona decide con un motivo por escrito.
Hecho · kyc.sanctions_screening
Los documentos de identidad, con personas.
Los documentos de identidad y los selfies nunca se envían a un proveedor de IA: una persona de Advanta los revisa. Los documentos de la empresa los lee un modelo de IA para ayudar a quien revisa, que decide.
Hecho · kyc.identity_documents_not_ai
[08] IA
La IA lee y escribe. Las personas deciden.
Lo que hace la IA, tarjeta a tarjeta, está en la página de IA.
El crédito y el precio nunca los decide la IA.
Advanta no decide el crédito ni fija precios, y su IA tampoco. Cada factura y cada expediente de empresa se comprueban automáticamente y se explican; lo dudoso va a una persona, y la aprobación siempre queda en manos de una persona.
Hecho · company.role · engine.autonomous_ops
Cada puntuación indica su versión.
Cada puntuación guardada registra la versión del modelo que la produjo, y cada versión registra quién la aprobó y por qué.
Hecho · score.versioned
[09] Paquete DORA de proveedor
El paquete de proveedor, para su equipo de riesgos.
Un paquete de due diligence tecnológica para el equipo de riesgos de un financiador: el paquete DORA de proveedor tercero, que cubre el proveedor, los servicios y los datos, los subencargados, los controles de seguridad, la resiliencia, los incidentes, la auditoría y la salida, y un extracto del registro de información, con cada afirmación marcada con su estado. Disponible para el equipo de riesgos de un financiador, bajo petición y con NDA.
Hecho · security.dd_pack · company.contact
Pedir el paquete →
O escriba a diogo@advanta.pt. El paquete se envía al equipo de riesgos de un financiador; no es una descarga pública.