Hay correspondencia que no debe estar junto a la de nadie, bajo ninguna circunstancia. Para eso existe un perímetro aparte: equipo propio, entorno aislado y llaves que no salen de tus manos. Es el nivel Digital DNA — $1 000 una vez por equipo y $200 al mes de acompañamiento.
Seis cosas que no existen en ningún otro nivel de acceso.
Un nodo aparte instalado donde tú decides, no una porción asignada dentro del equipo de otros. No es una cuenta con permisos ampliados: es una máquina que puedes tocar, desconectar y sacar del cuarto. Los $1 000 pagan el hardware y su preparación, no el derecho a entrar.
Tus datos no conviven con los de nadie, ni siquiera en la capa de almacenamiento. La frontera no es una fila en una tabla de permisos, sino el hardware: sin disco compartido, sin proceso compartido, sin cola de tareas compartida.
Las llaves se generan dentro del perímetro y ahí se quedan, también durante el mantenimiento y las actualizaciones. No guardamos copia, así que no podemos entregarla, ni perderla, ni traspasarla junto con la empresa.
No una cola de soporte ni un bot de primera línea, sino una persona concreta que conoce tu configuración, tu esquema de acceso y la lista de lo que pediste que nadie toque sin llamarte antes.
La conversación va sola a tu carpeta personal: una vez por hora o de inmediato apenas el archivo del diálogo pasa los 90 KB. No hay botón de guardar a propósito: una memoria que depende de tu disciplina no es memoria.
El perímetro no le pide permiso a nuestra nube para arrancar. Si mañana dejáramos de responder correos, el equipo seguiría funcionando donde está, con los datos y las llaves que ya tiene adentro.
La distancia entre «tienes tu carpeta» y «tienes tu máquina» es la distancia entre una promesa y un hecho.
Un servicio en la nube funciona como un edificio de departamentos: el mismo conjunto de máquinas atiende a decenas de miles de clientes a la vez. Los datos de unos y otros viven en los mismos discos, pasan por las mismas colas y terminan en los mismos registros y en los mismos respaldos nocturnos. La separación la sostiene el código: una línea que compara el identificador del dueño en cada consulta.
Mientras esa línea se comporte, alcanza, y no nos parece un mal diseño: la enorme mayoría de las tareas se resuelve ahí más barato, más rápido y con menos fallas. La pregunta es otra: qué alcanza para tu correspondencia en particular. Un error en una línea, un registro de depuración olvidado encendido una hora, un índice de búsqueda mal delimitado, y «tu carpeta aparte» deja de estar aparte, en silencio y sin aviso.
Para un archivo familiar, notas de trabajo y casi cualquier conversación, ese riesgo es razonable: aislar cuesta más de lo que costaría el error. Pero hay material donde la cuenta se invierte. Ahí el precio de una filtración no se mide en dinero, no se cancela con una disculpa y no se compensa, porque lo expuesto no es tu secreto sino uno ajeno, entregado bajo obligación.
«Solo tú puedes verlo» y «solo tú lo tienes» son dos afirmaciones distintas, y se confunden todo el tiempo. La primera habla de quién tiene permiso de mirar. La segunda, de dónde está físicamente aquello que se mira. Entre ambas cabe toda la diferencia entre política y geografía.
La primera no se puede verificar desde afuera. Te muestran certificaciones, descripciones de procesos y el compromiso del personal, pero confirmar que anoche nadie ejecutó una consulta sin avisarte es imposible: no tienes acceso a ese lado del muro. Queda la confianza, y es perfectamente razonable mientras lo que está en juego permita equivocarse.
La segunda se verifica en diez segundos: el equipo está en tu edificio o no está. El perímetro cerrado saca la privacidad del terreno de la confianza y la pone en el terreno del hecho. Eso no significa que la confianza sobre. Significa que deja de ser lo único que sostiene la construcción.
Hardware separado. Tu nodo, tu disco, tu memoria. Nada de eso se comparte con otro cliente ni en horas pico, ni en reposo, ni durante una ventana de respaldo.
Entorno separado. Los procesos de tu perímetro no conviven con los de nadie: no hay caché común donde pueda caer un fragmento ajeno, no hay cola de tareas donde tu consulta espere entre dos extrañas, no hay registro central que junte todo por comodidad operativa.
Llaves separadas. Se generan en sitio durante la instalación y nunca se exportan. Es una decisión de ingeniería, no una cláusula: aun con la mejor intención de entregar una copia, no podríamos, porque no existe.
Persona separada. Tu configuración la conoce un ingeniero con nombre, no quien tome el ticket ese día. La misma persona acuerda contigo la ventana de mantenimiento y la misma persona responde cuando algo sale mal.
Con franqueza: no solo dinero. El aislamiento cuesta comodidad, y conviene saberlo antes de firmar y no después de la primera noche incómoda. Las actualizaciones no llegan en silencio: entran en una ventana acordada, lo que significa que alguien de tu lado tiene que acordarla.
La responsabilidad del acceso físico pasa a ti. La cerradura, el cuarto, la lista de quienes pueden entrar: eso ya es parte del modelo de seguridad, no un tema administrativo. El cifrado más resistente del mundo no hace nada contra alguien que entró tranquilo, desconectó la máquina y se la llevó.
Y lo principal: perder la llave es irreversible. No habrá a quién llamar para pedir una restauración, no porque nos neguemos, sino porque no hay desde dónde restaurar. Es la consecuencia directa de aquello por lo que pagas, y lo decimos en la primera conversación, no en letra chica de la página cinco.
Con franqueza: la mayoría no, y lo decimos nosotros primero.
Aquellos para quienes el secreto no es una preferencia sino una obligación frente a un tercero. Tu paciente nunca eligió tu proveedor de hosting ni firmó nada con una empresa de nube.
El material del cliente no debería pasar por una infraestructura que no puedes describir con precisión. Tarde o temprano alguien pregunta dónde está guardado, y la respuesta tiene que ser corta.
Cuando en la correspondencia viven la estructura de propiedad, los acuerdos entre socios y los escenarios de sucesión, el círculo de lectores se cierra físicamente, no con una casilla.
Una fuente que se arriesga no confía en un servicio ni en una marca: confía en una cadena concreta de custodia. Mientras más corta la cadena, más honesta la promesa que puedes hacer.
Cuando el trabajo te sobrevive, cómo se llegó a cada decisión pesa más que la decisión misma, y ese razonamiento vive en la correspondencia, no en los documentos finales.
No una cláusula que habría que hacer valer dentro de tres años, sino un equipo que está en tu edificio y sigue funcionando sin participación nuestra.
Las tres preguntas de la segunda reunión, cuando ya pasó la primera impresión.
«Las llaves no salen del equipo» suena a folleto hasta que se desarma en consecuencias. Significa tres cosas a la vez: la plataforma no puede técnicamente leer el contenido; la plataforma no puede entregar por requerimiento algo que no tiene; y la plataforma no puede devolverte el acceso si el acceso se pierde.
Las dos primeras consecuencias son lo que compras. La tercera viene incluida y no se separa. Una llave de respaldo guardada de nuestro lado «por si acaso» anularía toda la construcción: es exactamente el mismo acceso compartido, con otro nombre y presentado como cuidado. Por eso esa llave no existe.
El respaldo de la llave es tu procedimiento. Ayudamos a diseñarlo: dónde vive la copia, quién está autorizado a alcanzarla, qué pasa cuando cambia la persona de confianza y cómo se comprueba que el respaldo sigue sirviendo. Lo que no hacemos es guardarla, y jamás te pediremos que nos la envíes «para diagnóstico». Si llega un mensaje así, no es nuestro.
Aquí termina el territorio de las promesas y empieza el de la ingeniería. Una promesa se puede romper, olvidar, revertir por un cambio de gerencia o por una exigencia externa. La ausencia de una copia no se puede romper: no hay qué romper.
El mantenimiento es el momento donde la privacidad suele filtrarse. No por una intrusión, sino por rutina: alguien abrió un registro para entender una falla y vio más de lo que buscaba. En un perímetro cerrado el ingeniero ve estado y no contenido, por construcción: uso de disco, versiones de componentes, el hecho y el código de un error, la hora de la última sincronización.
Las actualizaciones entran en una ventana acordada. Es más lento que «llegó de madrugada y se instaló solo», y está hecho así a propósito: en un perímetro donde la continuidad es responsabilidad tuya, nada debería cambiar en un momento que desconocías.
Que la persona tenga nombre no es cortesía. Es que al llamar no tengas que volver a explicar tu configuración, repetir la historia y demostrar que la tuya no es una cuenta estándar. El ingeniero que instaló tu perímetro recuerda por qué quedó así y no va a proponerte «volver al esquema normal».
La memoria del ecosistema sigue la arquitectura PADAM y está dividida en tres capas, porque las tareas son distintas. La capa operativa (Redis / Vercel KV) sostiene el contexto de la conversación en curso y dura exactamente lo que dura la conversación. La capa semántica (pgvector / Neon) guarda sentido comprimido en lugar de frases literales, y por eso una situación de hace años se vuelve encontrable. La capa eterna (Arweave más un cNFT en Solana) es un registro inmutable que no depende de ninguna empresa.
El guardado funciona igual en todos los niveles de acceso y no es una opción de pago: la correspondencia va automáticamente a una carpeta aparte, vinculada personalmente a ti, una vez por hora o de inmediato apenas el archivo del diálogo supera los 90 KB. Se paga por límites, por profundidad de trabajo con la memoria y por perímetros adicionales, nunca por el hecho básico de que lo dicho no se pierda.
El perímetro cerrado no cambia cómo está construida la memoria: cambia dónde vive. La copia de trabajo, la que el asistente lee todos los días, está en tu equipo y no en el entorno compartido, y las llaves que la cierran están ahí mismo. Todo lo demás son las mismas tres capas que tiene cualquiera.
La capa eterna está hecha para que un registro no pueda reescribirse después. Ese es el punto: un archivo que se puede corregir en silencio no vale más que una carpeta sobre el escritorio. Y esa es también su limitación, que preferimos decir temprano: la inmutabilidad no se apaga a pedido, o deja de ser inmutabilidad.
Pregunta aparte: quién paga el almacenamiento dentro de treinta años, cuando cualquier suscripción terminó hace mucho. La respuesta está en la economía: el 65 % del reparto del router va a la tesorería para comprar AR destinado al Arweave Endowment Pool, es decir, el almacenamiento se paga por adelantado y no mes a mes. El resto se distribuye así: 5 % al Fondo del Fundador, 5 % a quema y 15 / 7 / 3 % a los niveles de referidos L1 / L2 / L3. Si en un nivel no hay referido, esa parte se va a quema.
El token del ecosistema es $GALATIN en Solana, con un tope duro de diez mil millones que no puede subirse. Para un perímetro cerrado esto importa por una razón: la privacidad que depende de que alguien pague una factura de almacenamiento cada mes es privacidad temporal. Preferimos un diseño donde la factura ya está saldada y no depende de si la empresa sigue operando en 2056.
Las mismas preguntas hechas a los tres niveles de acceso, una tras otra.
| Pregunta | Spark · $15/mes | Family Archive · $100/mes | Digital DNA · $1 000 una vez y luego $200/mes |
|---|---|---|---|
| Dónde vive la copia de trabajo | Entorno compartido | Entorno compartido | En tu equipo |
| Vecindad con datos ajenos | Separación lógica | Separación lógica | Física: no hay disco común |
| Llaves de cifrado | Del lado de la plataforma | Del lado de la plataforma | Dentro de tu perímetro |
| Quién puede leer técnicamente | La plataforma | La plataforma | Solo tú |
| Guardado de conversaciones | Cada hora o a los 90 KB | Cada hora o a los 90 KB | Cada hora o a los 90 KB |
| Carpeta personal | Sí | Sí | Sí, dentro del perímetro |
| Tres capas de memoria PADAM | Sí | Sí | Sí |
| Capa eterna en Arweave | Sí | Sí | Sí |
| Quién responde cuando llamas | Cola común | Cola común | Un ingeniero con nombre |
| Acceso físico al hardware | Ninguno | Ninguno | Tuyo: tu cuarto, tu cerradura |
| Actualizaciones | Llegan solas | Llegan solas | En ventana acordada |
| Funciona sin enlace con nosotros | No | No | Sí |
| Si se pierde la llave | El acceso se recupera | El acceso se recupera | No lo recupera nadie |
| Tiene sentido cuando | Quieres memoria y continuidad | Quieres volumen, acceso familiar y archivo permanente | Necesitas que los datos estén físicamente contigo |
Seis pasos, de los cuales los dos primeros no cuestan nada y a menudo terminan en un no.
Empieza con una conversación sobre qué proteges y de quién, no con un formulario en un sitio. Un médico, un litigante y un dueño de planta tienen modelos de amenaza distintos y, por lo tanto, respuestas distintas.
Juntos listamos qué requiere de verdad un perímetro cerrado. Casi nunca es todo: parte de la correspondencia vive tranquila en Spark por $15 al mes, y decirlo temprano es más honesto que vender de más.
El equipo se arma y se configura para la tarea descrita. Los $1 000 iniciales cubren el hardware y la preparación: cuando llega a tus manos ya está ajustado a lo que se acordó.
El equipo se instala donde indicaste y se conecta a tu red. Las llaves se generan en sitio, dentro del perímetro, y ahí se quedan. Este paso no se hace por adelantado ni se hace en remoto.
Tú recibes el acceso; nosotros no recibimos nada. Desde ese momento no existe copia de la llave fuera de tus manos, y toda promesa posterior se apoya en ese hecho y no en nuestra palabra.
$200 al mes: ingeniero con nombre, ventanas de actualización acordadas, atención de incidentes y una revisión periódica del inventario, para ver qué entró al perímetro, qué quedó afuera y qué conviene cambiar.
Family Archive te da límites ampliados, bases de conocimiento personalizadas, acceso familiar y memoria permanente, pero el entorno sigue siendo compartido y las llaves siguen del lado de la plataforma.
El perímetro cerrado no cambia el volumen: cambia la geografía. La copia de trabajo y las llaves se mudan contigo. Si tu pregunta es «necesito más espacio y acceso para mi familia», la respuesta es Family Archive. Si es «no me acomoda que los datos no estén en mis manos», solo sirve el perímetro cerrado.
No, y es un asunto de llaves más que de política. El contenido está cerrado con llaves generadas dentro de tu perímetro y nunca exportadas. No tenemos copia.
La distinción importa. «No lo leemos» es una regla que alguien tiene que cumplir. «No podemos leerlo» es una propiedad del diseño que se cumple sola, incluso los días en que todo nuestro equipo está de vacaciones y la infraestructura la atiende un contratista.
El contenido queda ilegible y nadie puede recuperarlo, nosotros incluidos. No es una nota al pie: se desprende directamente de la respuesta anterior. Si pudiéramos recuperarlo, también podríamos leerlo.
Por eso el procedimiento de respaldo se acuerda durante la instalación y queda escrito de tu lado: dónde vive la copia, quién está autorizado y cómo se traspasa el derecho de acceso cuando cambia la persona de confianza. Participamos en el diseño de ese procedimiento, no en su custodia.
Entregamos lo que efectivamente tenemos: la existencia de un contrato y los parámetros técnicos del servicio. El contenido de tu correspondencia no lo tenemos en ninguna forma, así que entregarlo no es algo que rechacemos: es algo que no podemos hacer.
Esto no es asesoría legal ni una promesa sobre cómo se comporta una jurisdicción determinada. Es la descripción de lo que en principio podría salir de nuestras manos, porque está en nuestras manos. Todo lo demás está en las tuyas, y esas preguntas se te harán a ti.
Donde tú controles el cuarto y conozcas la lista de quienes pueden entrar. Una consulta privada, una sala de servidores y un estudio en casa tienen compromisos distintos, y eso se decide conversando, no por defecto.
El acceso físico pasa a ser parte del modelo de seguridad, y eso cambia hábitos. El cifrado más resistente no sirve contra alguien que entró, apagó la máquina y se la llevó. También trabajamos ese escenario, hasta qué hacer en los primeros treinta minutos.
Porque no pagas el derecho a entrar, sino el hardware y el trabajo de prepararlo. Una cuenta es una fila en la base de datos de otro: se duplica, se migra y se revoca. Una máquina existe una sola vez y está en un cuarto concreto.
De ahí una consecuencia práctica: dos perímetros independientes son dos equipos. El corte se hace por sentido: la consulta y el archivo familiar, los asuntos vivos y el archivo largo que se abre una vez al año.
El perímetro sigue funcionando: no le pide permiso a nuestra nube para arrancar ni se calla porque venció una suscripción en otra parte. El equipo está en tu edificio, los datos están en él y las llaves también.
La capa eterna vive en Arweave y no depende de que una empresa siga existiendo. El almacenamiento se paga por adelantado: el 65 % del reparto del router va a la tesorería para comprar AR destinado al Arweave Endowment Pool. El diseño está pensado para sobrevivir a sus autores, no para depender de ellos.
No. El ingeniero con nombre es justamente la respuesta: instalación, actualizaciones, diagnóstico e incidentes entran en los $200 al mes. No hay que contratar a nadie más.
Sí necesitas a alguien responsable de la llave del cuarto y de la lista de autorizados, y ese no es un rol técnico. En la práctica suele ser la misma persona que responde por la caja fuerte o por el timbre de la empresa.
Sí, y casi siempre conviene. Spark por $15 al mes o Family Archive por $100 al mes son una entrada razonable: vas a ver cómo se comporta la memoria, qué se acumula en ella y si de verdad te hace falta todo esto.
El perímetro cerrado tiene sentido cuando puedes decir con tus palabras qué va a vivir ahí y por qué eso no puede vivir en un entorno compartido. Mientras no tengas esa respuesta, subir es prematuro y te lo diremos sin rodeos.
No. Describimos propiedades técnicas, no estatus jurídico. El secreto médico y el profesional del abogado los regula la ley de tu país, y ningún equipo reemplaza cumplirla.
Técnicamente, el perímetro cerrado saca de la cadena a un tercero al que habría que confiarle un secreto ajeno. La conclusión legal la saca tu abogado, que conoce tu práctica. Podemos documentar la configuración con el detalle suficiente para que la evalúe.
Entra un registro inmutable vinculado a ti. No se puede quitar después, y eso es una condición y no un descuido: un registro que se edita en silencio no demuestra nada treinta años más tarde.
Conviene entenderlo antes de la primera conversación con un asistente y no después de la número cien. La inmutabilidad es una propiedad fuerte precisamente porque no se apaga a pedido, incluido el tuyo.
Escribe a contact@codeofdigitaleternity.com y cuenta la situación con tus palabras: qué proteges, de quién, dónde estás físicamente y si tienes un cuarto para el equipo. No hay formulario de veinte campos.
La primera conversación no compromete a nada y bastantes veces termina con la conclusión de que no necesitas un perímetro cerrado y te alcanza un nivel normal. Consideramos que ese es un buen resultado, no un negocio perdido.