Dossier 04 — Audits y Plan de Remediación (lectura fácil)

Las 5 auditorías independientes (C1, C2, C3, D1, D2) y qué se hace con cada hallazgo

Fecha: 2026-09-29 · Fuente del plan de remediación: 03_audits/PLAN_REMEDIACION.md · Fuentes de los resúmenes: los 5 audits completos en 03_audits/ (C1_veracidad_cobertura, C2_perspectiva_femenina, C3_user_personas, D1_seguridad_fisica, D2_ciberseguridad)

Qué es este documento: la versión de lectura fácil de las 5 auditorías independientes del proyecto SOROR y del plan que cierra sus hallazgos. Cada auditoría va resumida con su veredicto y sus cifras publicadas; después está el plan de remediación completo (6 paquetes A–F) tal como se escribió, con severidades, orígenes y costos intactos.

Cómo leer los sellos (los mismos de todo el dossier): - [unverified] = dato sin confirmar con fuente oficial o de primera mano. - [modelo] = cifra calculada a partir de supuestos declarados; no es medición directa. - REQUIERE ABOGADO = borrador legal; nada de eso se usa sin revisión de abogado. - Moneda en pesos mexicanos (MXN); fuentes consultadas el 2026-09-29 salvo indicación.

En una frase: los 5 audits no encontraron nada inventado ni ninguna fuente fantasma — encontraron promesas escritas que todavía no tienen mecanismo (protocolo de crisis citado 6 veces e inexistente, seguro RC sin contratar, minimización de datos contradicha por el proveedor de KYC, views que saltan el RLS, protocolos de convivencia sin redactar). 78 hallazgos de severidad ≥3, consolidados en 6 paquetes de remediación.

Parte 1 · Resumen de las 5 auditorías

C1 — Veracidad y cobertura (¿los números y las fuentes son ciertos?)

Vara: 00_HUB/REQUERIMIENTO.md verbatim. Método: recálculo programático de ~60 cifras + re-verificación en vivo (navegador/PDF oficial) de 6 afirmaciones críticas + muestreo de 15 afirmaciones duras + cobertura demanda-por-demanda.

• Veredicto de veracidad: 0 FALSAS · 7 OK plenas · 2 OK con nota · 6 DUDOSAS. Ninguna cifra inventada ni fuente fantasma: las ~90 URLs apuntan a entidades reales y las 10 verificadas en vivo respaldan sus citas casi al carácter. Los errores son de aritmética interna y detalle factual, no de fabricación.
• Cuadra exacto: flujo de caja 12 meses 12/12 acumuladas exactas, payback mes 14.07, inversión $343,500, break-evens 40 / 23 / 33, KYC Verificamex 20 × $0.8925 = $17.85 y escalones (−10% a −50%: $16.07 → $8.93), UMA 2026 ($117.31 → multas $37.54M / $75.08M), ENVIPE 2024 Morelos 6/6 cifras.
• No cuadra (corregido en el paquete E): tabla de utilidades del brunch sobrestimada (+$2,050 a $3,300 por evento) vs margen real $405; IMPI 2 clases = $6,253, no $3,500; el punto de equilibrio del brunch (40) debe exponerse como rango 40–57 según composición socia/pública e IVA; desglose de ingresos $156,412 vs $146,512 publicados (la propia FINANZAS §9 lo detecta); MetaMap/Incode se adquirió jun-2024 (no 2025); serie de feminicidios CIDHM con año ambiguo.
• Cobertura del requerimiento: 22 CUBIERTAS · 1 PARCIAL (brand development: no existe archivo BRAND) · 2 NO CUBIERTAS (propuestas de nombre/dominio con whois; G1 ley de alcoholes/permisos) · 5 EN VUELO (todas declaradas en el loopgraph, ninguna oculta).
• Top de sinceridad — H1 (sev 5): SPEC_FLOW promete 600–900 socias al mes 12 mientras el modelo financiero proyecta 125 (4.8× la propia rampa); es el sobre-promise que contamina la confianza en todo el vault. Sev 4: H2 (tabla brunch), H3 (BE con IVA no cuantificado), H4 (costo fijo sobre 1 solo venue verificado + 2 supuestos [unverified]), H5 (legalidad sin plan de contingencia de producto).

C2 — Perspectiva femenina (sororidad real, feminismo sano, cero discriminación)

Vara (verbatim, msg 1): "sororidad real, que no sea misándrico pero sí feminista en el contexto original de igualdad de género… cero discriminación". Cuenta: 20 hallazgos severidad ≥3 (2×sev5, 8×sev4, 10×sev3) + 4 anotaciones sev<3.

• Veredicto corto: el plan es éticamente superior al estándar del mercado (rechaza PNL, prohíbe dark patterns, diseña privacidad de nivel stalker-proof, se niega a vender "biología de la sororidad") — y aun así no pasaría hoy el escrutinio feminista público por cinco cargos concentrados: (1) propiedad y rostro (dueño hombre, "fundadora" invisible, sev 5); (2) acoso intra-socia sin protocolo (sev 5); (3) política trans ambigua y sin comunicación (sev 4); (4) ausencia total de programa de solidaridad/becas en el estado más feminicida (sev 4); (5) casta de fundadoras que contradice la sororidad que da nombre al club (sev 4). Ninguno es fatal: todos tienen remedio concreto y barato ANTES del launch.
• Respuesta directa a la vara del dueño: ¿es misándrico el plan? No — cumple "espacio diseñado para mujeres, jamás anti-hombres" en todos los documentos. ¿Es feminista de igualdad? A medias: en diseño ético sí; en impacto social y composición de poder, todavía no.
• Notas previsibles de prensa a desactivar: "¿de quién es el club?" (H4) y "denuncié acoso y me expulsaron a mí" (H12) — los dos cargos de mayor severidad y los más baratos de remediar.

Cuenta: 20 hallazgos severidad ≥3 (2×sev5, 8×sev4, 10×sev3) + 4 anotaciones sev<3. Lo que hace bien y debe protegerse: anti-misandria auditable, anti-dark patterns con lista verificable, rechazo honesto de PNL, privacidad de nivel stalker-proof, batería con ética de diseño, Círculos con base científica (Hall 2019, ~50 h), KPI de amistades activas en vez de usuarios mensuales.

C3 — User personas: ¿pega o no pega SOROR en Cuernavaca?

Método: simulación de 5 mujeres con metodología de user personas — constructos de simulación compuestos, no personas reales ni datos de mercado nuevos; todas las cifras provienen del vault y están trazadas. Cuenta: 16 hallazgos, 15 con severidad ≥3 (2×sev5, 3×sev4, 10×sev3).

• Veredicto: SÍ PEGA, condicionado — 40% tal como está el plan · 60–65% con los 3 gaps de severidad 5 remediados. Pega como lo que es: club de nicho premium-seguro de 100–150 socias fundadoras en el año 1, con caja negativa programada hasta el mes 14–15 (por diseño del modelo, no por fracaso), pagado sobre la única palanca que ninguna competidora local tiene: verificación de identidad + seguridad física en un estado con AVGM activa y 90.1% de percepción de inseguridad.
• Lo que NO pega tal como está escrito: la meta AC-13 de 600–900 socias al mes 12 (<10% de probabilidad: 4.8×–7.2× la propia rampa; hay que REESCRIBIR la meta, la remediación no la arregla) y la membresía vendida como descuento.
• Los 3 gaps de severidad 5: G-01 la membresía no se paga sola (ahorro máximo $225/mes vs cuota $349/mes; el Círculo —único producto exclusivo— ni está tarifado) · G-02 el brunch $850 rompe el ancla local ($210–585) sin justificación visible en el funnel · G-03 "me da pena ir sola la primera vez" — no existe protocolo de primera vez (no mata el clic, mata la butaca: pérdida invisible).
• La matemática del plan usada como vara: 125 socias al mes 12 · valle de caja −$395,919 (mes 2) · caja final −$89,359 · payback ~mes 14–15 · utilidad base +$43,181/mes (conservador +$7,764; con sueldo de fundadora, conservador −$10,236) · break-even brunch 40 · taller 23 · gala 33 · núcleo pagante Seg-1+2 ~69,000 mujeres, y 120 socias = 0.17% de penetración.
• Segmentos que hoy quedan fuera y tienen remedio en el paquete F: jóvenes 18–24 (el brunch les cuesta 2.5–3.4× su techo) y madres (31.2% de los hogares de Morelos con jefatura femenina).

D1 — Seguridad física y perimetral del plan de eventos

Vara: un club cuyo atributo de compra es "espacio seguro" se audita contra lo que una mujer víctima de acoso necesita que funcione a las 22:40 en un estacionamiento oscuro. Cuenta: 20 hallazgos · severidad ≥3: 15 (2×sev5, 8×sev4, 5×sev3).

• Veredicto: NO APERTURABLE HOY. No por dinero —el presupuesto de seguridad es correcto e incluso generoso para el estándar local— sino porque las cuatro cosas que separan un evento SEGURO de un evento CON SEGURIDAD están ausentes: protocolo de crisis escrito, seguro RC emitido, cadena de mando con roles nominales y protocolo de salida/transporte operable sin la app que no existirá en F0 (features P0/P2). Con redacción + gasto y un simulacro del guión "hombre en la puerta", pasa a APERTURABLE CONDICIONADO.
• H1 (sev 5): el "Protocolo de crisis G4 — primeros 15 minutos" se menciona 6 veces en el vault y no existe como documento: referencia circular, todos lo citan y nadie lo escribió. En seguridad física eso no es un gap de documentación: es la diferencia entre un incidente contenido y un caos filmado en 15 celulares.
• H2 (sev 5): la póliza RC no está contratada (es aspiración) mientras el contrato de adhesión ya la promete = publicidad engañosa (LFPC 34–37) + exposición patrimonial total. Rango real de mercado para 40–150 pax con suma ~$1M: $2,500–$6,000 por evento (anual multievento ~$15,000–$25,000 [unverified — cotización formal]); el supuesto del vault "0.2–0.5% del ingreso" ($80–$200 por brunch) subestima el mercado 10×.
• Hallazgos sev 4: el QR verifica el boleto, no a la persona (un QR reenviado salta todo el KYC en la puerta: el incidente que mata la marca); 2 custodios para 80 pax diurno sí, nocturno NO — la hora más peligrosa es la salida, no el brindis; transporte post-evento apoyado en software que no existirá en F0; licencia provisional con 3 días de holgura no es real (presentar T-15 días hábiles, walkthrough PC T-20); cisterna e iluminación verificadas solo por WhatsApp, sin cláusula de incumplimiento.
• Costo del remedio: ~$4,000–$7,500 inicial (botiquín tipo C $800–$1,500, 2 personas con primeros auxilios $1,600–$3,000, lámparas LED $600–$1,500, radios/audífonos $600) + $1,700–$3,000 por evento nocturno (custodio #3 en la ventana de cierre, DiDi de cortesía, precintos) ≈ 2.5–4.5% del ingreso del evento: el modelo lo absorbe.

D2 — Ciberseguridad de plataforma

Vara: "la base de datos de socias es el activo más sensible del negocio". Cuenta: 16 hallazgos · severidad ≥3: 13 (2×sev5, 5×sev4, 6×sev3). Nota de honestidad del propio audit: audita ARQUITECTURA EN PAPEL — no hay código aún; los hallazgos son de diseño, especificación y contrato, no bugs.

• Veredicto: la arquitectura responde donde el vault ejercitó mecanismo (RLS de tablas, no-directorio, no-exportación, minimización de schema, one-bit de edad, pagos hosted, MFA del perímetro técnico, listas impresas sanitizadas) y solo documenta donde el mecanismo quedó en promesa.
• H1 (sev 5): la cadena de custodia del dato más sensible está rota en el papel. La promesa "cero retención de selfie/INE en el proveedor" no está respaldada por el proveedor recomendado: el aviso de privacidad real de Verificamex (verificado en vivo el 2026-09-29) declara finalidades secundarias de investigación/estudio de mercado "con o sin lucro", transferencias internacionales y sub-procesamiento facial a terceros — y 0 menciones de retención en 37,279 caracteres de texto.
• H2 (sev 5): "RLS en 100% de tablas" deja dos bypass documentados sin cubrir: views SECURITY DEFINER (el directorio de socias ES una view → se saltan todas las policies) y Realtime con canal público por defecto. El checklist bloqueante mide tablas; el bypass vive donde el checklist no mira.
• H3 y H4 (sev 4): el KYC manual de F0 (INEs + selfies circulando por WhatsApp/galería de la revisora, con iCloud sincronizando antes del "borrado") contradice el principio rector; y el botón de emergencia —la única feature que toca vida física— no tiene especificación offline: con 3% de batería y 1 barra la PWA puede no cargar, el deep-link a la app C4 abre la App Store, el trayecto en vivo muere con los datos, y el SMS (el único canal que aguanta EDGE) está ausente.
• H5 (sev 4): el "borrado" no es verificable (soft-delete de un dato sensible de salud; sin runbook ARCO de hard-delete, sin matriz de retención por tipo de dato, con PITR de 7 días y Storage sin respaldo).
• Costo del remedio: ~15–22 días-hombre y $0–$3,000 MXN (sin contar honorarios del abogado ya presupuestados). Ningún hallazgo exige cambiar de stack ni de arquitectura: exige cerrar lo que la arquitectura ya prometió. H1, H2, H3 y H4 son condición de G-4 (apertura de app pública); H1 es condición de M1-2 (KYC automatizado).

Parte 2 · PLAN DE REMEDIACIÓN (contenido íntegro)

Orquestador: Circuit · 2026-09-29 · Fuente: los 5 audits completos en 03_audits/ (C1 veracidad/cobertura, C2 perspectiva femenina [20 hallazgos sev≥3], C3 user-personas [15 sev≥3], D1 seguridad física [15 sev≥3], D2 ciberseguridad [13 sev≥3]). Regla: cada remedio conserva severidad, origen y costo. Los que ya propuso el audit origen se consolidan; nada se duplica. 78 hallazgos ≥3 consolidados en 6 paquetes.

PAQUETE A — Bloqueantes de apertura (sev 5) · Semana 1 · costo ~$0-$5,000

PAQUETE B — Confianza y funnel (sev 4-5 del C3, el dinero del launch) · Semanas 1-3 · $0

PAQUETE C — Operación de eventos (sev 4-3 del D1) · Semanas 2-3 · ~$4,000-7,500 inicial

PAQUETE D — Perspectiva femenina (C2: los 5 remiendos que cuestan poco y deciden el escrutinio) · F0-F1

PAQUETE E — Correcciones de cifras (C1: honestidad transversal) · Semana 1 · $0

PAQUETE F — Experiencia/segmentos (C3 sev 4-3) · F0-F2

• G-04 (Jóvenes 18-24): precio estudiante $250-350 con credencial + 10 becas/evento + 1 evento formato fiesta-first por trimestre — el motor de viralidad que el plan ignoraba
• G-05 (Madres): evento mensual martes 10-13 "ventana escolar" + alianza estancia infantil + pase quincenal — el tercio del estado (31.2% jefatura) excluido hoy
• G-07 (OXXO): confirmación WhatsApp cuando concilia + voucher 3 días + recordatorio a 48h
• G-09 (Traslado nocturno): año 1 = evento diurno por defecto + punto DiDi compartido por colonias + alianza DiDi Mujer por crédito
• G-10 (Meta buy leads fríos): pauta solo retargeting+lookalike de socias reales, tras validar orgánico
• G-12/G-13 (copy): zona+tipo de venue publicados antes del pago; promesa aspiracional (tiempo tuyo, experiencias curadas) — la amistad es el resultado, no el slogan
• G-14 (funnel único): WhatsApp Business con link de pago + KYC presencial en primer evento → la puerta hace el KYC, la app se abre después

Gates actualizados (consolidación D1+D2 sobre SPEC_FLOW)

G-4 (apertura de app pública) gana 4 bloqueantes nuevos: security_invoker/Realtime (D2-A5), shell offline del botón de emergencia + 911 como tel: nativo (D2-H4), runbook ARCO de hard-delete verificable (D2-H5), MFA de staff de app (D2-H4/B6). Gate de evento go/no-go (F0-D1): G4 escrito y briefed con roles nominales + Póliza RC emitida + walkthrough 48h con fotos + anexo de seguridad firmado + DGSP con turno 8h/1 elemento femenino/radios/ficha vigente.

Costo total de remediación

• Dinero: $4,500-7,500 inicial (botiquín, auxilios, lámparas, radios, precintos) + $2,500-6,000/evento en seguro RC → ~2-4% del presupuesto ya fondeado
• Gente: ~15-22 días-hombre (dev D2) + 1-2 semanas de redacción de protocolos + gestión de cero costos
• Cambios estructurales: $0 — ningún stack ni modelo cambia; todo es cerrar lo que el blueprint ya prometió

Parte 3 · Trazabilidad

Dossier de lectura fácil del proyecto SOROR · auditorías y remediación · versión 2026-09-29 · las cifras y veredictos provienen de los 5 audits y del plan de remediación en 03_audits/, sin añadidos.