KORDVEX · LEGAL Y CONFIANZA
Seguridad y confianza
PrivacidadTérminosDPASeguridadEsta página describe controles que KORDVEX implementa y límites que deben evaluarse durante una compra enterprise. No sustituye una auditoría independiente ni una certificación formal.
Compromiso de transparencia: no mostramos certificaciones que no hayan sido emitidas. Las afirmaciones de esta página se basan en la implementación y las verificaciones disponibles.
1. Autenticación y sesiones
- Contraseñas almacenadas con PBKDF2-SHA256 y sal individual.
- Sesiones con cookies HttpOnly y protección CSRF.
- Refresh token en cookie HttpOnly, no en almacenamiento accesible por JavaScript.
- Revocación de sesiones y tokens al cerrar sesión o cambiar credenciales.
- MFA disponible para cuentas administrativas.
2. Autorización
- Validación de permisos en el backend por rol y alcance.
- Separación entre operación, finanzas, cumplimiento, RRHH y administración.
- Controles de acceso a acciones sensibles y aprobaciones humanas para determinadas operaciones de IA.
3. Protección de la aplicación
- Content Security Policy restrictiva.
- HSTS y redirección HTTPS.
- Cabeceras X-Frame-Options, Referrer-Policy y Permissions-Policy.
- Validación de archivos por firma y tamaño.
- Auditoría de acciones relevantes.
4. Infraestructura
La aplicación se despliega en Netlify y utiliza Supabase/PostgreSQL y Supabase Storage. Los proveedores aplican sus propios controles de infraestructura, que deben verificarse en sus acuerdos y documentación vigente.
5. Límites actuales
- El aislamiento multiempresa completo está en proceso de endurecimiento y debe validarse antes de un despliegue multi-tenant.
- Los respaldos remotos cifrados y la restauración automatizada requieren configuración adicional.
- No existe una certificación SOC 2, ISO 27001 ni equivalente emitida para KORDVEX.
- La revisión legal y de privacidad debe completarse para la jurisdicción de cada cliente.
6. Reporte de incidentes
Para reportar una vulnerabilidad o incidente, escribí por WhatsApp con el asunto “Seguridad”. No publiques datos personales ni credenciales en el mensaje inicial.