Seguridad / Security
Postura de seguridad de Xkila
Documentación técnica para equipos de procurement, TI y cumplimiento empresarial. · Technical documentation for enterprise procurement, IT, and compliance teams.
Cifrado de datos TLS 1.2 / 1.3
- En tránsito: las comunicaciones usan TLS 1.2 o 1.3; las versiones antiguas se rechazan y HTTP se redirige a HTTPS.
- Base de datos: accesible solo desde el propio servidor, sin exposición directa a Internet.
- En reposo: el cifrado de disco no está implementado actualmente; se encuentra en evaluación.
- Backups: copias diarias automatizadas con verificación de integridad (SHA-256) y acceso restringido.
Traffic over TLS 1.2/1.3 (HTTP redirected). Database not exposed to the Internet. Disk encryption at rest not yet implemented. Daily backups with SHA-256 integrity checks.
Autenticación JWT · httpOnly
- JWT con cookies httpOnly: tokens de sesión almacenados en cookies seguras, no accesibles desde JavaScript del cliente.
- Rate limiting en login: intentos de inicio de sesión son limitados para prevenir ataques de fuerza bruta.
- Expiración de sesión: tokens tienen vigencia limitada y son invalidados al cerrar sesión.
JWT tokens in httpOnly cookies. Rate-limited login. Session expiry enforced.
Control de acceso RBAC
Modelo de roles basado en privilegios mínimos:
- SUPER_ADMIN: acceso completo a todas las organizaciones y configuración de plataforma.
- ADMIN: gestión de la plataforma dentro del alcance autorizado.
- ORGANIZATION_ADMIN: gestión de participantes y reportes dentro de su organización.
- PARTICIPANT: acceso exclusivo a su propia evaluación y reporte.
Role-based access control: SUPER_ADMIN, ADMIN, ORGANIZATION_ADMIN, PARTICIPANT. Tenant-scoped data isolation enforced at query level.
Registro de auditoría Audit Log
- Todas las acciones administrativas son registradas con: timestamp, actor (ID de usuario), dirección IP, acción realizada y recurso afectado.
- Los registros son inmutables desde la interfaz de usuario; modificaciones requieren acceso de infraestructura.
- Retención de logs: 12 meses.
All admin actions logged with timestamp, actor ID, IP, and affected resource. 12-month log retention.
Carga de archivos PDF · DOCX
- Tipos permitidos: únicamente PDF y DOCX; validación de tipo MIME, extensión y firma de archivo.
- Límite de tamaño: archivos con tamaño excesivo son rechazados antes de procesarse.
- Almacenamiento temporal: los archivos se procesan en directorios temporales seguros y se eliminan tras el procesamiento.
File uploads restricted to PDF/DOCX. MIME, extension, and file-signature validation. Size-limited. Stored in secure temp directories.
Infraestructura Cloud VPS
- Proveedor: infraestructura de nube VPS con copias de seguridad automatizadas diarias.
- Aislamiento de tenant: las consultas a base de datos son validadas a nivel de organización antes de ejecutarse.
- Actualizaciones: dependencias de seguridad son monitoreadas y parcheadas regularmente.
Cloud VPS with automated daily backups. Organization-scoped query isolation. Regular security patching.
Política de datos y modelos de IA
Los datos de respuesta de los usuarios no se utilizan para entrenar modelos de IA. Los reportes son generados mediante interpretaciones estructuradas de puntuaciones dimensionales — no mediante modelos de lenguaje entrenados con las respuestas de los participantes.
User response data is not used to train AI models. Reports are structured score interpretations, not outputs of models trained on participant data.
Contacto de seguridad
Para reportar vulnerabilidades, solicitar documentación adicional de seguridad o coordinar una revisión de due diligence, contacte: security@xkila.com
To report vulnerabilities, request additional security documentation, or coordinate a due diligence review, contact: security@xkila.com
Compromisos de manejo de datos / Data handling commitments
- Dónde se almacenan los datos / Where data is stored: Servidor VPS dedicado. Los datos solo se comparten con los proveedores técnicos publicados en la página de proveedores, y XKILA no autoriza su uso para entrenar modelos de IA externos. Dedicated VPS. Data is only shared with the published technical providers; XKILA does not authorize its use to train external AI models.
- Cifrado / Encryption: TLS 1.2 o 1.3 en tránsito. Cifrado de disco en reposo en evaluación (no implementado). TLS 1.2/1.3 in transit. Disk encryption at rest under evaluation (not implemented).
- Aislamiento / Isolation: Aislamiento lógico por organización: cada consulta se valida contra la organización de la sesión, y una organización no puede acceder a datos de otra. Logical per-organization isolation: every query is scoped to the session's organization.
- Retención / Retention: Según la política de conservación (borrador pendiente de revisión jurídica). La eliminación se solicita por el procedimiento de derechos. Per the retention policy (draft pending legal review). Deletion is requested through the data-rights procedure.
- Marco legal / Legal framework: XKILA no declara cumplimiento de una legislación específica. La revisión por jurisdicción está pendiente de asesoría jurídica. XKILA does not claim compliance with any specific law. Per-jurisdiction review is pending legal counsel.
Revisión legal / Legal review
¿Requiere revisión legal antes de evaluar? / Require legal review before evaluating?
Ofrecemos un NDA estándar y una sesión de revisión metodológica antes de comenzar cualquier diagnóstico. Frecuente en contratos enterprise y licitaciones institucionales.
We offer a standard NDA and a methodology review session before starting any diagnostic. Common in enterprise contracts and institutional procurement.
Procurement · TI / IT
Para equipos de compras y TI / For procurement and IT teams
Tenemos documentación de postura de seguridad disponible bajo acuerdo de confidencialidad para licitaciones empresariales y procesos de due diligence institucional.
We have security posture documentation available under a confidentiality agreement for enterprise bids and institutional due diligence processes.
Última actualización: mayo 2026 · Last updated: May 2026
