LA SEGURIDAD ES UNA RESPONSABILIDAD COMPARTIDA — Y VERIFICABLE
「Política de seguridad y responsabilidad compartida」
Qué protege KOMORI, cómo, dónde se almacenan los datos, qué no hacemos todavía y cuál es el rol del cliente.
Resumen en lenguaje sencillo
Publicamos solo las medidas que están realmente implementadas y son verificables. Lo que aún no hacemos se indica abiertamente en esta misma página, bajo "Límites actuales".
Cómo funcionan estos documentos
Una cotización, un acuerdo individual y los términos específicos del producto prevalecen cuando abordan la misma materia. Nada en estos documentos limita los derechos legales obligatorios. Contáctenos antes de contratar si algo no está claro.
01Salvaguardias verificables
Esta política está diseñada para ser verificada, no simplemente leída. Cada cifra a continuación refleja una configuración real de la infraestructura en el momento de la revisión, no un objetivo ni una intención.
Los detalles que debilitarían la seguridad si se publicaran —topología interna, reglas de firewall, nombres de credenciales— se proporcionan bajo un acuerdo de confidencialidad durante la evaluación de proveedores.
TLS 1.2+Transporte cifradoTLS 1.0 y 1.1 rechazados
bcryptPasswordsHash con sal, nunca texto plano
DiariaCopia de seguridad automatizadaCopiado fuera del servidor
50+Registros de historialCambios versionados por registro
02Capas de protección
Ningún control único protege un sistema. Trabajamos en capas para que el fallo de una no exponga directamente los datos.
Desde el borde público hasta los datos
L1Borde y mitigaciónEl tráfico público pasa por un CDN/WAF antes de llegar a la aplicación.
L2Transporte cifradoHTTPS obligatorio, usando TLS 1.2 o 1.3 con un certificado público válido.
L3Red y puertosLos servicios administrativos y de base de datos no están expuestos a Internet; el filtrado se vuelve a aplicar automáticamente en cada reinicio del servidor.
L4Aplicación y permisosCuentas individuales, permisos de rol y módulo, verificados en cada solicitud.
L5Datos y registro de auditoríaLos cambios importantes registran un historial con autor y marca de tiempo, lo que permite reconstruir qué se modificó.
03Providers and international transfers (APPI)
The primary GeHost infrastructure and providers listed in the Security Policy may process data outside Japan, including in the United States. Entering a contract alone does not replace specific consent or another legal condition required for international transfers. Depending on the circumstances, APPI requirements for prior information, consent, equivalent safeguards and supervision of delegated processing must be addressed. Before submitting data requiring Japanese residency, contact DX Department about the country, recipient, safeguards and contractual restrictions. AI and optional service providers are identified in their respective sections; absence of third parties is not presumed.
Proveedores que procesan datos para prestar el servicio, a la fecha de esta revisión.
Proveedor
Rol
País
Datos involucrados
GeHost
Servidor que ejecuta la aplicación y la base de datos
Estados Unidos
Todos los datos del servicio
Cloudflare, Inc.
Borde de red, protección contra ataques y entrega de contenido
Estados Unidos
Metadatos de conexión y tráfico
Google LLC
Correo electrónico corporativo y destino de copia de seguridad
Estados Unidos
Mensajes y archivos de copia de seguridad
Stripe, Inc.
Procesamiento de pagos con tarjeta y en tiendas de conveniencia
Estados Unidos
Datos de facturación. KOMORI no almacena números de tarjeta.
04Transporte, cuentas y acceso
Todo el acceso al sistema se realiza a través de un canal cifrado bajo una cuenta con nombre. No existen cuentas compartidas entre personas ni acceso anónimo a los datos del cliente.
Control
Estado actual
Nota
Protocolo de transporte
TLS 1.2 y TLS 1.3
Las versiones anteriores rechazan la conexión
Almacenamiento de contraseñas
Hash bcrypt con salt
Irreversible; ni siquiera KOMORI puede recuperar el original
Modelo de permisos
Por rol y por módulo
Verificado en cada solicitud, no solo en el menú
Encabezados de protección del navegador
nosniff · SAMEORIGIN · referrer restringido
Reduce el secuestro de contenido y la fuga de referrer
05Copia de seguridad y continuidad
Las copias de seguridad se generan automáticamente todos los días y se copian fuera del servidor de producción, por lo que perder el servidor no significa perder los datos.
La base de datos se copia de manera consistente sin interrumpir el servicio. Cada ejecución se registra, por lo que un fallo en la copia de seguridad se detecta en ese momento, y no cuando se necesita una restauración.
DiariaFrecuenciaAutomático, sin pasos manuales
14días de la base de datosRetención de copias de la base de datos
31días de archivosRetención de copias de archivos
06Quién hace qué
La mayoría de los incidentes reales no provienen de fallos técnicos del proveedor, sino de permisos olvidados, dispositivos desprotegidos o contraseñas compartidas. De ahí la división explícita a continuación.
ÁreaKOMORICliente
Infraestructura y redServidor, filtrado de puertos, actualización de componentesRed y equipos de la propia oficina
Cuentas de usuarioMecanismo de inicio de sesión, hash de contraseña, sesiónCrear, revisar y eliminar usuarios cuando las personas se van
PermisosProporcionar controles de roles y módulosDecidir quién ve qué y revisar periódicamente
Contenido de los datosAlmacenar, proteger y devolver bajo solicitudLegalidad, precisión y necesidad de lo ingresado
Copia de seguridadEjecutar, verificar y retener según esta políticaIndíquenos si se necesita una retención más allá del estándar
IncidentesContener, investigar, corregir y notificarReportar sospechas inmediatamente, sin esperar la confirmación
07Respuesta a incidentes
Si ocurre un acceso no autorizado, fuga, pérdida o cambio no autorizado, seguimos una secuencia definida. Existe para que la respuesta no dependa de la improvisación en el peor momento.
01ContenerDetener lo que está en curso y limitar el alcance, incluso si eso significa suspender temporalmente una función.
02PreserveMantener registros y evidencia antes de cualquier corrección, para que la causa pueda determinarse después.
03DetermineIdentificar qué se accedió, de quién eran los datos y el impacto real, sin minimizar.
04NotificarInformar al cliente afectado tan pronto como exista información fiable, y a la autoridad competente cuando la ley lo requiera.
05FixEliminar la causa, no solo el síntoma, y confirmar que la corrección funcionó.
06PreventRegistrar la lección y cambiar el proceso o el código para que la misma falla no regrese en otra forma.
08Own AI and external providers
KOMORI operates KOIA, its own AI infrastructure. External processing also exists: the operational configuration includes Anthropic (Claude), OpenAI (Codex) and Z.ai, depending on the feature and engine used. Prompts, attachments and necessary context may be processed by that engine; do not assume all AI processing stays within KOIA. Software supporting a user-configured provider is also subject to that provider’s terms. Do not submit passwords, secrets or unnecessary personal data. Contact DX Department before use with questions about processing and the applicable provider. AI responses can be wrong and require human review, particularly for legal, financial, medical, employment or safety decisions. For 3D or texture generation, Meshy may also process prompts and files when that engine is used.
09Límites actuales
Las medidas a continuación aún no están implementadas. Se enumeran porque su ausencia puede importar para la decisión del cliente, y omitirlas sería engañoso.
Measure
Estado
Autenticación de dos factores
No disponible. El acceso depende de la contraseña y de la política interna del cliente.
Cifrado de disco en reposo
No se aplica al volumen del servidor. Las copias de seguridad se envían y almacenan en un servicio externo con control de acceso basado en cuentas.
HSTS y política de seguridad de contenido
Aún no habilitado. HTTPS funciona, pero sin estas capas adicionales de endurecimiento.
Certificación independiente de terceros
Ninguna. Las evaluaciones de proveedores se gestionan mediante documentación y una entrevista técnica.
10Reportar una falla de seguridad
Si encuentra una vulnerabilidad en cualquier sistema de KOMORI, repórtela a través del canal de soporte antes de la divulgación pública. Nos comprometemos a confirmar la recepción, investigar y reportar el resultado.
No acceda, modifique ni copie datos de terceros durante la verificación.
No ejecute pruebas que degraden el servicio para otros usuarios.
Cualquier persona que reporte de buena fe y respete estos límites no enfrentará acciones legales por parte de KOMORI por hacerlo.
Canal de contacto
Utilice estos canales para preguntas sobre datos, seguridad o términos contractuales.
Su contacto ha ingresado a la cola de chat. Nuestro equipo responderá por este canal.
Cookies esenciales y privacidad
Utilizamos cookies propias esenciales para idioma, sesiones, seguridad y funciones solicitadas. Los servicios externos y las opciones del navegador se explican en la Política de Transmisión Externa.
admin_panel_settings
Iniciar sesión
Usar una cuenta autorizada para acceder al entorno interno.
