Orquestador: Circuit · 2026-09-29 · Fuente: los 5 audits completos en
03_audits/(C1 veracidad/cobertura, C2 perspectiva femenina [20 hallazgos sev≥3], C3 user-personas [15 sev≥3], D1 seguridad física [15 sev≥3], D2 ciberseguridad [13 sev≥3]). Regla: cada remedio conserva severidad, origen y costo. Los que ya propuso el audit origen se consolidan; nada se duplica. 78 hallazgos ≥3 consolidados en 6 paquetes.
| # | Gap | Origen | Remedios concretos | Costo |
|---|---|---|---|---|
| A1 | AC-13 imposible: meta 600-900 socias mes 12 vs rampa 125 (inversionista con Excel devalúa todo el pitch) | C1-H1 · C3-G-11 | Reescribir AC-13: 600-900 socias = meta a mes 24-30 con ciudad #2 abierta (coincide con SOM a 3 años y playbook F3). Mes 12 = 125 socias · ≥30 Círculos activos | $0 |
| A2 | Protocolo de crisis G4 solo mencionado, jamás escrito (se menciona 6× en el vault, 0 procedimientos) | D1-H1/H2 | Redactar G4 completo: cadena de mando nominal (quién decide evacuar/habla 911/abre ruta de ambulancia), 4 guiones (incidente médico, agresión, emergencia del venue, evacuación), botiquín tipo C + 2 staff con curso Cruz Roja | $0 redacción + $2,500-4,500 material |
| A3 | Póliza RC no contratada (aspiración; el gate la exige) | D1-H3 · G2 | 2 cotizaciones formales (GNP/AXA/Qualitas vía corredor local) RC eventos 50-150 pax + emitida antes del evento 1; línea presupuestal: $2,500-6,000/evento | $0 cotizar / $2.5-6k/evento |
| A4 | DPA Verificamex inexistente — su aviso público (verificado en vivo) declara retención de indeterminada + finalidades secundarias con lucro: contradice toda la minimización LFPDPPP del vault | D2-H1 | Decisión: cambiar proveedor a VerifyMX (su página declara "no guarda la imagen por defecto") O negociar DPA con retención-0 + notificación brecha <24h + prohibición de entrenar, firmado antes de M1-2 (KYC automatizado). En F0 el KYC manual no toca al proveedor → ventana disponible | $0-$500 (abogado revisa DPA) |
| A5 | Bypass RLS por views SECURITY DEFINER + Realtime público — el directorio ES una view; "RLS en 100% de tablas" mide lo que hay, no lo que falta | D2-H2 | security_invoker = on en TODAS las views (PG15+) + deshabilitar "Allow public access" de Realtime + policies en realtime.messages + test CI por view con token anon y socia cruzada |
4-6 h dev |
El valor correcto está en el texto de arriba; los otros son distractores de otras partes del dossier.
| # | Gap | Origen | Remedios |
|---|---|---|---|
| B1 | La membresía no paga sola (ahorro máx $225/mes vs cuota $349) y el Círculo no está tarifado: el pitch de descuento es matemática negativa | C3-G-01 (hallazgo más grave del C3) | Re-escritura del pitch: membresía = ACCESO al Círculo (el único producto exclusivo) + 1 item tangible/mes + prioridad + descuentos; ecuación honesta publicada; definirla en SPEC M1-3 |
| B2 | Brunch $850 sin justificación visible vs ancla local $210-585 | C3-G-02 | Desglose en checkout: "incluye brunch 3 tiempos + fotógrafa + 2 custodios DGSP + protocolo llegada/salida"; precio primera-vez $550-650; photo-moment que muestre el valor |
| B3 | "Me da pena ir sola" — mata la butaca, no el click (pérdida invisible) | C3-G-03 | Protocolo Primera Vez: llegada 15 min antes para nuevas, anfitriona dedicada, presentación con 2 matching de intereses, referida recibida en la puerta por su anfitriona; KPI de asistencia de primeras |
| B4 | QR verifica boleto, no persona — el eslabón roto: ex-pareja con QR reenviado entra limpio; cortesías genéricas transferibles | D1-H5/H12 · D2-H7 | QR rotativo (TTL 15 min) + pantalla de check-in con foto de perfil de la socia para cotejo visual 3 s + cortesías siempre nominales con mini-KYC 48 h antes + protocolo de QR ajeno (rechazo + flag) |
| B5 | KYC manual F0: INEs+selfies por WhatsApp de la revisora (el activo más sensible, distribuido en teléfonos personales) | D2-H3 | Canal técnico: upload a bucket privado TTL 48h auto-delete + signed URL + audit log de apertura + regla escrita "jamás WhatsApp/carrete" — o revisión presencial en el primer evento (verificación presencial como oferta de primera clase) |
| B6 | Coordinadora sin MFA en la app (el MFA documentado solo cubre dashboard técnico) + auditoría ciego a lecturas | D2-H6/H12 | MFA obligatorio para staff_role (factors API) + step-up >50 perfiles/sesión + alerta de tasa anómala + log de SELECTs de perfil ajeno + capacitación anti-phishing (el phishing de WhatsApp es el vector #1 de un negocio WhatsApp-first) |
El valor correcto está en el texto de arriba; los otros son distractores de otras partes del dossier.
| # | Gap | Origen | Remedios |
|---|---|---|---|
| C1 | Checklist de venue como promesa verbal → anexo contractual: cisterna, iluminación de salida, estacionamiento hasta última socia, incumplimiento = 50% descuento + cancelación sin penalización; walkthrough 48h a la hora del evento + verificación 60 min antes + 2 lámparas LED propias | D1-H8 | $0 contrato + $600-1,500 lámparas |
| C2 | Barra: expendio por cupo, negar servicio (LALCOHOLEM 73) y retiro de vasos = cláusula contratada con venue/catering + briefing 30 min pre-evento con lista de señales y firma + alcohol comprado/sellado con precintos numerados por SOROR | D1-H9 | $0 + $200-500/evento precintos |
| C3 | Seguridad mal presupuestada: 2 elementos 8h=$3,000 (el turno 6h pedido no cubre montaje+salida); eventos ≥70 pax y NOCTURNOS = 3 elementos + radios (Zello+audífonos $600 o renta $800-1,200) | D1-H11/H14 | +$1,500/evento ≥70 pax; costo nocturno incremental total $1,700-3,000/evento (~2.5-4.5% del ingreso — el modelo lo absorbe) |
| C4 | Salida escalonada sin coreografía: tandas de 5-10 cada 3 min por chaperona nominal, cierre = "última socia con transporte asignado", bitácora con hora; inspección ligera de bolsos en nocturnos; regla verbal en brunch diurno | D1-H13/H15 | $0 (disciplina) |
| C5 | Tramitación licencia provisional: T-15 días hábiles + walkthrough PC T-20 + 3 firmas de VoBo calendariadas (separadas) — la afirmativa ficta no llena un evento el sábado | D1-H7 | $0 (tiempo) |
| C6 | Confrontación en puerta: protocolo escrito (negación uniforme, flagrancia=911 sin demora, NUNCA retener fuera de flagrancia, NUNCA perseguir fuera del predio) + instructivo de uso de fuerza exigido a la DGSP por contrato; botellones propios detectados en puerta con ticket de devolución | D1-H6/H13 | $0 |
| C7 | Botiquín tipo C + 2 primerizadores Cruz Roja + punto de acceso de ambulancia en la pizarra del briefing | D1-H10 | $2,500-4,500 una vez |
El valor correcto está en el texto de arriba; los otros son distractores de otras partes del dossier.
| # | Gap | Origen | Remedios |
|---|---|---|---|
| D1 | ¿De quién es el club? — sin founder-CEO de cara, "sororidad como negocio de caballero" mata el lanzamiento en prensa | C2-H4 | Fundadora-CEO (Anaíz o quien sea) con equity y rostro público; transparencia de propiedad en /nosotras |
| D2 | Acoso entre socias sin protocolo ("denuncié y me expulsaron a mí" = hilo viral) | C2-H12 | Código de convivencia publicado con sanciones graduadas + estadísticas de moderación auditables + política de no-retaliación; NPS pregunta "¿alguien te ofreció productos o negocios?" (anti-MLM, H18) |
| D3 | ¿Quién es mujer? — admisión trans ambigua con riesgo en la puerta | C2-H14 | Política pública ANTES del launch (autoidentificación con revisión humana en caso de duda + respeto al espacio) + capacitación del staff de puerta |
| D4 | Percepción elitista (estado con 41.1% pobreza; "sororidad premium") | C2-H16 · C3-G-08 | 5% del MRR en becas + 2 eventos gratuitos/año por alianza + foto-marketing con diversidad real (edad/colonia/oficio) + venue mix popular cada tercer evento |
| D5 | Batería con riesgo de vender miedo a la soledad | C2-H10 · G9 | Cortafuegos: batería fuera del catálogo de beneficios (opt-in), comisión → cuota plana, jamás segmentar marketing con el resultado (ya declarado en anti-roadmap: ahora con restricción técnica de columnas — D2-H15) |
| D6 | Anti-MLM/anticaptación | C2-H18 | Cláusula expresa en código de conducta: prohibido vender/reclutar/captar datos en eventos y grupos; sanción graduada; moderación entrenada en captación encubierta; 1-2 "ferias de socias" al año como salida ética |
| # | Corrección | Origen |
|---|---|---|
| E1 | Tabla de utilidades brunch corregida con margen real $405 (45p→+$1,925 · 60p→+$8,000 · 85p→+$18,125); recalcular triggers de reprogramación | C1-H2 |
| E2 | BE brunch expuesto como rango 40-57 según composición socia/pública e IVA (con la fórmula de ambos casos); FINANZAS §10.1 cuantificado | C1-H3 |
| E3 | IMPI 2 clases = $6,253 (no $3,500): inversión corregida $346,253; colchón real ~$70-130k | C1-H6/V10 |
| E4 | MetaMap/Incode: fecha de adquisión jun-2024 (no 2025) | C1-V11 |
| E5 | Serie feminicidios CIDHM: aclarar año de 121 (2024 vs 2025 según fuente) y acumulado | C1-V12 |
| E6 | N2 bootstrap reformulado con los 3 condicionantes: sueldo cero año 1, −30% asistencia=−$2,228, margen de error de un dígito | C1-H7 |
| E7 | AC de churn/conversión llevan etiqueta "si el supuesto se invalida, el AC se recalibra" (churn 7%, conv 15% = hipótesis, no targets) | C1-H8 |
| E8 | KPI norte con definición operativa: "amistad activa = contacto entre 2 socias de un mismo evento ≥2 veces/mes por ≥4 semanas consecutivas, autorreportado" + baseline cohortes + instrumento (seguimiento a 3 meses ya definido) | C1-H9 |
| E9 | Batería: De Jong Gierveld 6 ítems como DECISIÓN de fallback cableada (no "diferir a F2"), WHO-5/UCLA-3 con gestión de licencia paralela | C1-H10 · C2 sev2 |
El valor correcto está en el texto de arriba; los otros son distractores de otras partes del dossier.
G-4 (apertura de app pública) gana 4 bloqueantes nuevos: security_invoker/Realtime (D2-A5), shell offline del botón de emergencia + 911 como tel: nativo (D2-H4), runbook ARCO de hard-delete verificable (D2-H5), MFA de staff de app (D2-H4/B6).
Gate de evento go/no-go (F0-D1): G4 escrito y briefed con roles nominales + Póliza RC emitida + walkthrough 48h con fotos + anexo de seguridad firmado + DGSP con turno 8h/1 elemento femenino/radios/ficha vigente.