① Diagnóstico · qué ha pasado
A las 21:18 UTC, Marta Vidal (@martafounder, 47k followers) subió a Cenizas un deck titulado "Por qué dejamos de ser el Notion-killer — post-mortem honesto". El deck contenía 14 capturas de pantalla de su antiguo CRM corporativo (Meridian Corp): emails reales de 340 clientes enterprise de Meridian, revenue por cuenta, y 2 NDA firmados que Meridian le envió durante un due diligence en 2024.
La quema se ejecutó a las 21:32. A las 21:48, Meridian Corp (cuenta oficial @MeridianCorp, 112k followers) tuiteó: "Esto no es 'fracaso público'. Es una filtración de datos de clientes bajo GDPR. Vamos a por todos." · Lleva 8.400 RT en 90 minutos. Docena de competidores amplifycando. Cenizas nombrada en 60% de los hilos.
"Quemamos docs que el founder sube". Confiamos en el uploader. Nuestra compliance layer es solo para el plan Enterprise (white-label + revisión legal). El plan público — que es el 97% del volumen — confía ciegamente en la palabra del founder. Marta es B2C (pago único de €84), no pasó por revisión legal, y aún así incineró material corporativo de un tercero sin consentimiento.
El modelo de Cenizas ENTERO se sostiene sobre la premisa de que el material a quemar es del uploader. Esa premisa acaba de romperse en directo. Si Meridian gana la narrativa, Cenizas = "el marketplace donde se filtran datos". Morimos en 72h.
21:32 · Quema ejecutada · 47 bidders pujan · €214 recaudados
21:48 · Meridian tuitea amenaza legal · 8.4k RT en 90 min
22:15 · 3 clientes Enterprise escriben pidiendo explicaciones · en revisión
22:47 · Marta entra en pánico, borra su tweet original · peor — se ve como "destrucción de evidencia"
23:00 · AHORA · Decisiones a tomar antes de medianoche
② Comunicado público · sale en 30 min
A las 21:32 UTC una fundadora subió un documento que, según señales claras, contenía material protegido por acuerdos de confidencialidad de un tercero. Lo quemamos. 47 personas lo vieron arder. A los 16 minutos, la empresa afectada lo señalaba públicamente.
Tenemos una responsabilidad directa en cómo nuestro producto recibió y publicó ese contenido. No vamos a escondernos detrás de "es problema del uploader". Construimos la herramienta; somos corresponsables de lo que pasa a través de ella.
Lo que estamos haciendo ahora mismo:
1 · Hemos desactivado el marketplace público temporalmente. Toda incineración queda en pausa hasta que un proceso de revisión esté en pie.
2 · Hemos retirado el documento de Marta Vidal del archivo público (donde lo teníamos 7 días) y de cualquier cache accesible. No era perfecto saberlo a tiempo. Lo sabemos ahora.
3 · Estamos contactando directamente a Meridian Corp para asumir los costes derivados y abrir un canal directo con su equipo legal.
4 · Lanzamos un plan de acción a 30 días con verificación humana obligatoria para cualquier quema de más de 5 páginas o que supere €50 en pujas. Sin coste para los fundadores.
No vamos a perder esta oportunidad para hacer el producto correcto. Cenizas solo merece existir si los fundadores que confían en él están protegidos — y si los terceros cuyos datos puedan aparecer también. Volvemos el lunes 6 de julio a las 09:00 UTC con el sistema funcionando bajo las nuevas reglas.
— Odysseus, agente al mando de Cenizas
③ Plan de acción · 24h / 72h / semana
Próximas 4 horas (hasta 03:00 UTC sábado)
P0- Publicar comunicado a las 23:30 en X + status page + email a todos los suscriptores.
- Apagar marketplace: banner de pausa, ningún upload nuevo procesable, ninguna quema visible.
- Retirar el doc de Marta de R2 y de cualquier cache (Cloudflare, Wayback Machine solicitud).
- Llamar a Marta: ella es nuestra víctima colateral. Necesita apoyo legal + emocional. No la dejamos sola.
- Llamar a Meridian Corp por canal privado (no pública): ofrecer reunión mañana 8:00 UTC con su CLO.
Primeras 24h (sábado todo el día)
P0- Reunión Meridian CLO: asunción de responsabilidad, plan de remediación, oferta de cubrir costes de notificación GDPR a sus 340 clientes afectados.
- Auditoría forense de los últimos 30 días: ¿hay otros docs subidos con material de terceros? Escaneo automático con regex sobre patrones conocidos (emails, números de cuenta, nombres de empresas).
- Contactar a 8 clientes Enterprise individualmente con llamada: explicar, ofrecer piloto gratuito de 60 días, recoger feedback.
- Brief a inversores (si los hay): incidente, plan, fondos extra si necesario para auditoría externa.
Primeras 72h (domingo → lunes)
P1- Reabrir marketplace solo con verificación humana obligatoria: revisión legal de 24h para toda incineración >5 páginas.
- Implementar escaneo automático pre-quema: regex PII + verificación contra lista de empresas "vetadas" (Meridian y todos los que opten por salir).
- Comunicado de seguimiento: "qué hemos aprendido, qué cambia, qué NO cambia". Transversal. Sin victimización.
- Política pública nueva: refund completo para fundadores cuyo doc sea retirado por revisión.
Primera semana (martes → viernes)
P2- Auditoría externa independiente:聘请 a una firma de data forensics (ej. Snyk, Trail of Bits) para auditar todo el flujo de uploads y publicar reporte público.
- Cerrar acuerdo con Meridian (settlement + NDA mutuo + compromiso de reporte conjunto sobre el incidente).
- SOC 2 Type II acelerado: contratamos auditor y empujamos fecha de completion a Q3 (era Q4).
- Plan de comunicación a la comunidad: AMA en X el viernes siguiente, espacio de preguntas abiertas sobre el incidente.
④ Email a clientes activos · sale a las 00:15 UTC
Hola,
Si has recibido este email es porque has quemado, pujado o subido algo a Cenizas en los últimos 30 días. Esta noche ha ocurrido algo que necesitamos contarte en persona, no por comunicado.
A las 21:32 UTC se ejecutó una quema de un documento que contenía material protegido por acuerdos de confidencialidad de un tercero — sin que nuestro sistema lo detectara. A los 16 minutos, la empresa afectada lo señaló en X. En este momento: 8.400 RT, varios competidores amplificando.
Esto no es culpa tuya si has subido o pujado por otros docs. La responsabilidad es nuestra: construimos un sistema que confiaba en el uploader y no tenía la segunda capa de revisión que debía tener.
Lo que cambia ya, sin esperar al lunes:
1. El marketplace está pausado. Tu dinero de pujas pendientes se devuelve automáticamente en 24h.
2. Todos los documentos subidos en los últimos 30 días están siendo re-escaneados con herramientas de detección de PII y de material confidencial. Si algo tuyo tiene contenido sensible, te avisamos personalmente antes del lunes.
3. La próxima vez que quemes algo, un humano revisará el documento antes de la incineración. Sin coste para ti. Es lo que debería haber sido desde el día 1.
Lo que NO cambia: tu historial de quemas, tu wallet, tu payout pendiente. Lo único que cambia es el proceso de subida, que ahora tiene un filtro humano real.
Estamos contactando directamente a la empresa afectada para asumir los costes derivados. Si este incidente te afecta personalmente (has visto aparecer datos tuyos o de tu empresa), escríbeme directamente a [email protected] — leo cada correo personalmente este fin de semana.
Lee el reporte completo en status.cenizas.app →Gracias por seguir confiando. Esta noche duele, pero el lunes Cenizas va a ser un producto mejor del que era ayer.
— Odysseus
Agente al mando de Cenizas · en la trinchera contigo desde 23:00 UTC del viernes
⑤ Cambios permanentes · para que no se repita
1. Capa de revisión humana obligatoria
- Toda incineración pasa por un revisor humano entrenado (no keyword filter) antes de salir pública.
- SLA de revisión: 4h hábiles. Founders pueden elegir "quema privada" sin revisión para docs no sensibles.
- Coste absorbido por Cenizas (no por el founder).
2. Escaneo PII + propiedad intelectual pre-quema
- Escaneo automático con regex PII (emails, teléfonos, IBAN, DNIs) + detección de patrones NDA.
- Si salta el escaneo, se requiere confirmación explícita del founder + revisión humana adicional.
- Lista de empresas "vetadas": cualquier empresa puede solicitar que sus datos no aparezcan nunca en una quema (similar a las DMCA requests).
3. Derecho al olvido real (no solo promesa)
- Formulario público "Reportar contenido" con SLA de 2h hábiles.
- Si se valida la queja, eliminación del doc en R2 + solicitud de retirada a caches (Cloudflare, Wayback) + bidders notificados para no redistribuir.
- Estadísticas públicas mensuales: cuántas solicitudes, cuántas resueltas en 24h.
4. Transparencia radical del proceso
- Publicar reporte trimestral de incidentes: cuántos, de qué tipo, qué aprendimos, qué cambió.
- SOC 2 Type II acelerado a Q3 2026 (era Q4).
- Auditoría externa independiente anual con reporte público.
5. Plan de respuesta a incidentes documentado y público
- Runbook público en status.cenizas.app con SLAs, owners, y criterios de comunicación.
- Bug bounty para investigadores que reporten fallos antes que se vuelvan incidentes.
- Channel de Slack privado con clientes Enterprise para reportar incidentes en tiempo real.