Nadie más exporta planillas.
Un pequeño programa corre en el servidor de la empresa, junto a su ERP o DMS. Lee solo lo que declara — solo lectura — y lo envía por un canal cifrado y autenticado en ambos extremos.
Funciona con el sistema que ya tiene — ERP, DMS o planilla. Nada cambia en su operación, y no se abre ningún puerto en su red.
Decisor: las garantías de seguridad · TI: la instalación completa
Lee. No escribe.
El agente es deliberadamente pequeño y limitado. Lo que puede hacer cabe en tres líneas — lo que no puede, también.
Lee solo lo que declaran las consultas compiladas en el binario — empezando por los asientos contables — y solo lo que es nuevo o divergió de los totales de control.
Envía al gateway del AutoController por un canal cifrado y autenticado en ambos lados (mTLS).
Corre como servicio de Windows, bajo una cuenta virtual propia: arranca con la máquina, se recupera de caídas y registra logs sin contenido de datos.
No graba nada en su sistema y nunca recibe SQL de la nube: la nube elige solo el dominio y la ventana, y el login de base de datos solo tiene SELECT sobre lo que declara el manifiesto.
No abre puerto de entrada en su red: es el agente el que sale a hablar con la nube, nunca al revés — y siempre hacia dos nombres fijos, grabados en el binario, que su TI puede fijar en el firewall.
No guarda datos de negocio en la máquina y no envía nada a ningún lugar fuera del gateway del AutoController — nunca habla directo con la base de datos en la nube.
Siete capas entre su base de datos e internet.
El mismo modelo de punta a punta: identidad por certificado, canal mTLS y mínimo privilegio en cada eslabón.
Un certificado por agente identidad
Cada agente recibe un certificado exclusivo, válido por 7 días y renovado a la mitad de su vida, probando la posesión de la clave actual. El anterior se revoca en el primer uso del nuevo. Sin certificado válido, el gateway rechaza la conexión.
mTLS en ambos extremos canal
Toda comunicación es cifrada y autenticada en ambos lados: el agente prueba quién es — y el gateway también. Entre el agente y su base de datos, la conexión también es siempre cifrada.
Dos destinos fijos, por nombre destino
El agente habla solo con el gateway de ingesta del AutoController, en São Paulo, que atiende en dos nombres — fijados en el binario, no en un campo editable. Su TI puede restringir la salida del servidor a esos dos nombres, y el ancla de confianza viene en el propio binario: el tráfico desviado no se autentica.
Clave atada a la máquina credenciales
La clave privada del agente nace no exportable en el TPM de la máquina. Sin TPM, el agente usa una clave de software restringida al servicio — y lo declara al AutoController. Con autenticación integrada de Windows, no se guarda ninguna contraseña.
Un tenant por empresa aislamiento
En la base central, cada empresa solo ve sus propios datos: el tenant viene del certificado, nunca del contenido enviado, cada registro se cifra con la clave de la empresa, y el aislamiento lo impone la base de datos, no la aplicación.
Lectura, y solo la declarada privilegio
El login del agente tiene SELECT solo sobre las tablas y columnas del manifiesto, que su DBA aplica y audita — nunca db_datareader, nunca escritura. De nuestro lado, el gateway solo ejecuta las rutinas de grabación del staging, sin acceso directo a las tablas.
Corte inmediato revocación
Un certificado comprometido se revoca en el servidor y pierde el acceso ya en la solicitud siguiente. Un certificado vencido no se renueva: exige un nuevo enrollment.
Instalado en minutos.
Un asistente local guía los cuatro pasos — en la máquina donde su sistema ya corre, sin runtime ni software de terceros.
1 · Base de datos
Login SQL de lectura de su ERP o DMS, con SELECT solo sobre lo que declara el manifiesto (agente manifesto lista tablas, columnas y versión para su DBA). La conexión es siempre cifrada.
Instalación guiada por el equipo AutoController, junto con su TI. Demostración interactiva del asistente local — los datos son de ejemplo.
Solo lo que cambió. Nada se pierde en silencio.
Tres pedidos, todos de la nube. Nuevos: lo que está por encima de la marca de agua, con un solapamiento corto. Totales: conteo y sumas por empresa × cuenta × día, calculados por la propia base de origen. Cierre: el período entero, cotejado contra el balance de comprobación antes de cerrar.
Si diverge, el segmento vuelve entero. Si los totales de un segmento no cuadran, el segmento se re-extrae completo — y un asiento eliminado se vuelve una divergencia visible en la conciliación, nunca desaparece en silencio.
Un ciclo sin cambios no graba nada. Si nada es nuevo y todos los segmentos cuadran, solo se registran los totales: el volumen crece con su actividad, no con la frecuencia de los ciclos.
Envía en crudo, nada se reemplaza. El agente no transforma datos ni guarda checkpoint: la marca de agua vive en la nube. Cada versión entra al staging append-only, y reprocesar es re-derivar a partir de él.
Cada ejecución, registrada.
Ciclo a ciclo: qué pidió la nube, cuántos asientos llegaron, cuánto tardó y dónde quedó la marca de agua. El historial aparece en el panel — sin SSH, sin pedirle logs a TI.
- Estado e historial de ejecuciones directo en el panel.
- Una falla no avanza la marca de agua, que vive en la nube — el pedido siguiente cubre la misma ventana.
- Certificado de 7 días, renovado solo a la mitad de su vida; el anterior se revoca.