Tres capas:
- En tránsito — TLS 1.3 en cada conexión.
- En reposo — AES-256 en escaneos, documentos y base de datos.
- Acceso — el personal de operador solo ve los sobres asignados a su centro; cada acción interna está protegida con MFA y registrada.
Rotamos las claves trimestralmente.