Borrador, versión del 19 de octubre de 2026. Traducción solo a título informativo; prevalece la versión alemana. Completar y someter a revisión jurídica antes de publicar.
1. Operación e infraestructura
KI.ordo funciona en un único servidor gestionado por nosotros [Ubicación o proveedor de alojamiento y país]. En el plan Enterprise, KI.ordo funciona en un servidor del cliente; el cliente es responsable de su seguridad física y de su sistema operativo, salvo acuerdo en contrario.
Todos los contenidos se encuentran en una base de datos en este servidor. Solo utilizamos servicios externos para las respuestas de IA y para los fines indicados en la página Subencargados del tratamiento.
2. Transmisión cifrada
En nuestro dominio, solo puedes acceder a KI.ordo mediante HTTPS (TLS). En ese caso, las cookies de inicio de sesión se envían exclusivamente a través de conexiones cifradas. La conexión con el proveedor de IA siempre está cifrada.
3. Inicio de sesión y acceso
- Guardamos las contraseñas solo como hash, con el procedimiento scrypt y una sal aleatoria.
- Las sesiones funcionan mediante una cookie HttpOnly con protección SameSite. En el servidor solo guardamos un hash de la clave de sesión. Una sesión finaliza a los 14 días o al cerrar la sesión.
- Las claves API también las guardamos solo como hash. Pueden revocarse en cualquier momento; su último uso es visible.
- Roles por espacio de trabajo: propietario, admin, editor y lector. Cada persona solo ve los espacios de trabajo de los que es miembro.
- Los cambios importantes quedan reflejados en el registro de cambios del espacio de trabajo.
4. Protección contra abusos
- Los accesos públicos, como el inicio de sesión, el formulario de contacto, el chat web y los webhooks, limitan el número de peticiones por dirección y minuto.
- Puedes restringir el chat web a sitios web autorizados.
- Las peticiones web de los flujos no pueden acceder a direcciones de red internas o privadas.
- Un límite mensual de tokens por espacio de trabajo evita costes inesperados.
5. Copias de seguridad
La base de datos se copia cada noche. Conservamos las copias de seguridad de los últimos siete días. [Ubicación de las copias, p. ej., además cifradas fuera de las instalaciones]
6. Organización
Adaptar las secciones 6 y 7 a la práctica real antes de publicar.
- Solo tienen acceso al servidor [número / roles] personas sujetas a un deber de confidencialidad.
- Solo accedemos a los contenidos de los clientes cuando es necesario para el soporte o la operación, o cuando el cliente lo solicita.
- Los dispositivos con acceso al servidor están cifrados y protegidos con bloqueo de pantalla.
- Los soportes de datos que ya no se necesitan se borran de forma segura o se destruyen.
7. Actualizaciones y pruebas
Mantenemos actualizados el sistema operativo y los paquetes de software, y comprobamos las nuevas versiones de KI.ordo con pruebas automáticas antes de distribuirlas. [Añadir auditorías de seguridad externas o certificaciones cuando existan]
8. Incidentes
Si detectamos una violación de la seguridad de los datos personales, informamos a los clientes afectados sin dilación indebida y les ayudamos a cumplir sus obligaciones de notificación. Cuando seamos nosotros los responsables, notificamos el incidente a la autoridad de control en un plazo de 72 horas (art. 33 del RGPD).
9. Comunicar vulnerabilidades
¿Has encontrado una vulnerabilidad? Escribe a [email protected]. Danos tiempo para solucionar el problema antes de publicarlo y no accedas a datos de otras personas.