Modelo de trabajo
Cómo trabajamos
Alcance cerrado, precio cerrado y cada cambio a la vista. Cuando terminamos, el código, las cuentas y el conocimiento se quedan contigo.
El proyecto, paso a paso
- Primera llamada. Nos escribes. Un ingeniero te responde en un día laborable. Si ayuda, hacemos una llamada corta (unos 30 minutos) para entender tu sistema, tu plazo y lo que te preocupa.
- Presupuesto cerrado. Recibes un presupuesto por escrito: qué haremos, qué entregaremos, cuánto tarda y cuánto cuesta. Publicamos los precios de partida en nuestra página de precios. El presupuesto no crece por horas.
- Trabajo que puedes ver. Trabajamos en Git, en tus repositorios, mediante pull requests. Puedes leer cada cambio, su motivo y los controles que pasó. Nada se cambia a mano en tus sistemas de producción.
- Los hallazgos vienen con solución. Una auditoría no acaba en una lista de problemas. Cada hallazgo tiene un nivel de riesgo y una corrección concreta y, cuando entra en el alcance, la aplicamos contigo.
- Traspaso. Recibes documentación escrita para quien va a operar el sistema, los accesos pasan a tu equipo y se rotan las credenciales que usamos.
- Plan de mantenimiento opcional. Si quieres que sigamos, un plan mensual cubre monitorización, actualizaciones, revisión de backups y ayuda con los cambios. Si no, eres totalmente independiente.
Controles de entrega en cada proyecto
Estos controles se aplican a cualquier sistema que tocamos, sea la infraestructura de un banco o una tienda online pequeña.
- Cada cambio pasa por Git y un pull request. Nadie edita producción a mano.
- Controles automáticos antes de fusionar: sintaxis para la versión del runtime del servidor, escaneo de secretos y archivos prohibidos, y una marca en los cambios de riesgo (configuración, CI, dependencias, SQL, código que borra datos).
- Staging con datos saneados. Pagos, analítica, correo y login social desactivados, y dominios reescritos.
- Una puerta de producción en el propio servidor, para que un pull request no pueda debilitarla. Solo se despliega si el commit está en master y es fast-forward, llegó por un pull request revisado y la CI está en verde. Antes se hace un backup de la base de datos y después se ejecuta una comprobación de salud con reversión automática.
- Una comprobación nocturna de desviaciones compara producción con Git y abre una incidencia si algo cambió fuera del pipeline. Los despliegues quedan bloqueados hasta resolverla.
- Backups cifrados en un almacenamiento separado: la base de datos cada 6 horas y los archivos cada noche, con restauraciones probadas y verificadas por checksum.
- Los archivos eliminados van a cuarentena, no se borran directamente.
- Mínimo privilegio. Las deploy keys son de solo lectura y una por repositorio. Las claves de despliegue de la CI están atadas a un comando forzado, así que una clave filtrada solo puede volver a desplegar.
Cómo usamos los agentes de IA, y dónde paramos
Usamos agentes de IA (Claude) en nuestro propio trabajo: para leer código que no conocemos, preparar cambios, escribir tests y documentación. Nos hace más rápidos.
Los límites son estrictos:
- el agente trabaja solo mediante pull requests;
- nunca tiene acceso al servidor, a la base de datos ni a los secretos;
- nunca fusiona con controles en rojo;
- un ingeniero revisa y responde de cada cambio que propone.
Comunicación
- Idiomas: inglés, español, ucraniano y ruso.
- Tiempo de respuesta: un ingeniero te responde en un día laborable.
- Sin capa comercial. Hablas con los ingenieros que hacen el trabajo.
- Por escrito por defecto. Las decisiones, los hallazgos y los cambios quedan escritos en pull requests, incidencias o informes breves, para que nada dependa de lo que alguien recuerde de una llamada.
Lo que no hacemos
- Sin sorpresas por horas. El precio está en el presupuesto. Si surge algo fuera del alcance, te lo decimos y decides tú.
- Sin ataduras. El código, los servidores, los dominios y las cuentas son tuyos. No nos guardamos nada que necesites para trabajar con otro.
- Ningún cambio sin revisar en producción, ni nuestro ni de nuestras herramientas.
- Ningún certificado que no podamos dar. Implantamos controles para PCI DSS, DORA y NIS2. No somos QSA ni proveedor acreditado de TLPT, y no certificamos a nadie.
Para saber cómo protegemos tus sistemas y datos mientras trabajamos con ellos, mira Seguridad y confianza.
Preguntas frecuentes
¿Trabajáis por horas?
Muy pocas veces. Las auditorías y los proyectos de puesta en marcha tienen alcance y precio cerrados, por escrito en el presupuesto antes de empezar. El trabajo continuo es un plan mensual con un alcance claro. Si hay que cambiar el alcance, te lo decimos antes y lo acordamos por escrito.
¿De quién son el código y las cuentas?
Tuyos. El código va a tu propia organización de Git, los servidores y las cuentas cloud están a tu nombre y pagas directamente los servicios de terceros. Trabajamos con los accesos que nos das y que puedes retirar cuando quieras.
¿Va a hacer cambios una IA en nuestros sistemas?
Usamos agentes de IA (Claude) para trabajar más rápido, pero solo mediante pull requests. El agente nunca tiene acceso al servidor, a la base de datos ni a los secretos, y nunca fusiona con controles en rojo. Un ingeniero responde de cada cambio.
¿Podéis firmar un NDA?
Sí, si lo pides, antes de que compartas nada sensible.
¿En qué idiomas trabajáis?
Inglés, español, ucraniano y ruso, por escrito y en llamadas.
¿Qué pasa cuando termina el proyecto?
Recibes un traspaso: documentación, accesos pasados a tu gente y rotación de las credenciales que usamos. Si quieres, un plan de mantenimiento opcional mantiene la monitorización, las actualizaciones y la revisión de backups. No tienes ninguna obligación de contratarlo.
Empieza con una conversación
Cuéntanos tu situación en pocas líneas. Un ingeniero te responde en un día laborable.