- Vigente desde
- 28 de septiembre de 2026
Cómo protegemos los datos de las empresas y de las personas que usan XEN. Este resumen es la versión pública. La documentación completa (Declaración de Aplicabilidad, programa de pruebas de seguridad, plan de certificación y diagramas de flujo de datos) se entrega a clientes y evaluadores bajo acuerdo de confidencialidad, a través de security@xeneural.com.
Registro de cambios
| Fecha | Cambio |
|---|
| Noviembre de 2025 | Primera versión |
| 28 de septiembre de 2026 | Inicio de sesión corporativo, registro de accesos visible para el administrador, objetivos de recuperación, programa de pruebas de seguridad, calendario de certificación, administración de la plataforma y correo autenticado |
Lo esencial
- Sus datos son suyos. Los usamos solo para prestarle el Servicio. No entrenamos modelos de inteligencia artificial con ellos y lo prohibimos por contrato a nuestros proveedores.
- Cifrado en tránsito y en reposo. TLS 1.2 o superior en tránsito y AES-256 en reposo, en bases de datos, archivos y copias de respaldo.
- Cada empresa, aislada. Los datos de cada cliente están segregados lógicamente y cada petición se valida en el servidor contra la organización del usuario; los identificadores que envía el navegador no se usan para autorizar.
- Acceso corporativo y permisos detallados. Inicio de sesión corporativo SAML u OIDC, exclusivo por empresa si el cliente lo elige, con autenticación multifactor obligatoria; roles por módulo, acción y sede; mínimo privilegio.
- Aviso de incidentes en 24 horas. Procedimiento documentado, con notificación a los clientes afectados en un máximo de 24 horas desde que tenemos constancia razonable del incidente y un informe completo en 10 días hábiles.
- Un sistema de gestión en operación. Sistema de gestión de seguridad de la información conforme a ISO/IEC 27001:2022, con políticas, registros, auditoría interna y revisión por la dirección. El proceso de certificación se inició en octubre de 2026.
Seguridad del producto
| Control | Qué hacemos |
|---|
| Autenticación | Identidad verificada en el servidor en cada petición; inicio de sesión corporativo SAML u OIDC (Google Workspace y Microsoft Entra ID), exclusivo por empresa si el cliente lo elige, con autenticación multifactor obligatoria; contraseñas custodiadas cifradas por nuestro proveedor de identidad y nunca legibles por Xeneural; segundo factor TOTP con códigos de recuperación |
| Autorización | Roles por módulo, acción y sede; los administradores del cliente gestionan sus usuarios y permisos; los accesos de soporte requieren autorización del cliente y quedan registrados |
| Segregación entre clientes | Identificador de organización validado en el servidor en cada operación; las consultas se limitan por diseño a la organización activa |
| Integridad de los datos | Validación de esquemas, huellas SHA-256 de cada documento, firma electrónica con cadena verificable y sello temporal, saneado de entradas |
| Perímetro de la aplicación | Cabeceras de seguridad estrictas (CSP, HSTS, aislamiento de origen), límites de tasa globales y por cuenta, protección frente a automatización abusiva en formularios públicos |
| Asistente XENI | Contexto limitado a la empresa activa y a los permisos del usuario; ninguna acción de escritura sin confirmación humana; contenido generado identificado como tal; el administrador puede apagar XENI para toda la empresa; proveedor de modelo sin entrenamiento sobre datos de clientes |
Seguridad de los datos
| Control | Qué hacemos |
|---|
| Cifrado en tránsito | TLS 1.2 o superior en todas las conexiones: navegador, aplicaciones móviles e integraciones |
| Cifrado en reposo | AES-256 en bases de datos, almacenamiento de archivos y copias de respaldo; secretos de integración cifrados con clave propia y rotación programada |
| Ubicación | Alojamiento en centros de datos de proveedores certificados en Estados Unidos; entrega y protección del tráfico en una red de borde global; transferencias comunicadas a la autoridad peruana y cubiertas por cláusulas contractuales tipo para clientes europeos |
| Copias y recuperación | Base de datos con copia continua y restauración a un punto en el tiempo (RPO 5 minutos, RTO 4 horas); documentos con réplica diaria; restauración de prueba cada trimestre con acta y ejercicio anual de recuperación ante desastres |
| Retención y borrado | Plazos publicados en la Política de Privacidad; exportación en formatos abiertos; borrado certificado tras la terminación; conservación legal de comprobantes y registros contables en archivo con verificación de integridad |
| Registro de accesos y actividad | Quién hizo qué y cuándo, incluidos los inicios de sesión y los accesos de soporte, visible para el administrador del cliente; conservación de 24 meses; revisión trimestral |
Seguridad de la operación
| Control | Qué hacemos |
|---|
| Desarrollo seguro | Pruebas automatizadas, alertas de dependencias vulnerables, análisis de dependencias con cuarentena y verificación de firmas, programa de pruebas de seguridad internas clasificadas por nivel de impacto, gestión de vulnerabilidades con plazos por severidad, despliegue por flujo de trabajo tras las pruebas |
| Proveedores | Solo proveedores con ISO/IEC 27001 o SOC 2, acuerdo de tratamiento de datos o condiciones equivalentes y notificación de incidentes; lista pública de subencargados con 30 días de aviso ante cambios |
| Personal y equipos | Acuerdos de confidencialidad, formación registrada, equipos con acceso a información de la empresa con cifrado de disco, bloqueo automático y actualizaciones al día; acceso a producción solo para personal autorizado |
| Administración de la plataforma | Consola interna separada de la aplicación: cada acción exige la sesión verificada de una cuenta de personal activa, cada persona accede solo a las secciones asignadas y la baja de una cuenta surte efecto en el acto; cada acceso del personal a los datos de una empresa queda en el registro de actividad de esa empresa, visible para su administrador |
| Correo | Los correos de xeneural.com se firman con DKIM y se autorizan con SPF; DMARC en política de cuarentena con informes diarios, que pasa a rechazo el 26 de octubre de 2026 |
| Continuidad | Objetivos de recuperación publicados en el Acuerdo de Nivel de Servicio; plan de continuidad con restauración de prueba trimestral y ejercicio anual |
| Verificación | Programa continuo de pruebas de seguridad internas; prueba de intrusión externa con la auditoría de etapa 2 de la certificación (enero de 2027) y anual después; auditoría interna y revisión por la dirección anuales; los resúmenes ejecutivos se comparten con clientes bajo confidencialidad |
Gestión de incidentes
- Detección por monitoreo, por aviso de un cliente o de un proveedor, o por un investigador de seguridad.
- Contención inmediata y registro con responsable y hora.
- Notificación a los clientes afectados dentro de las 24 horas siguientes al momento en que tenemos constancia razonable del incidente; la información se completa por fases.
- Notificación a la Autoridad Nacional de Protección de Datos Personales del Perú dentro del plazo legal cuando corresponda, y asistencia al cliente para sus propias notificaciones.
- Informe posterior con causa raíz, impacto, medidas y plazos, en un máximo de 10 días hábiles.
Certificaciones y estado
| Marco | Estado |
|---|
| ISO/IEC 27001:2022 | Sistema de gestión documentado y en operación. Proceso de certificación iniciado en octubre de 2026: auditoría de etapa 1 en diciembre de 2026 y de etapa 2 en enero de 2027 |
| Proveedores de infraestructura | Cuentan con ISO/IEC 27001 o SOC 2; la lista, con la finalidad y la ubicación de cada uno, está en la página de subencargados |
Hoja de ruta
| Mejora | Fecha |
|---|
| Certificado ISO/IEC 27001 emitido por organismo acreditado | Tras la auditoría de etapa 2 (enero de 2027) |
| Prueba de intrusión externa por un tercero independiente | Con la auditoría de etapa 2 (enero de 2027) |
| Cifrado por campo con clave gestionada por el cliente | Evolución prevista sobre la base de datos actual |
Reporte de vulnerabilidades
Si encuentra una vulnerabilidad, escríbanos a security@xeneural.com. Nuestra Política de Divulgación Responsable explica el alcance, los plazos de respuesta y el compromiso de no emprender acciones legales contra quien investigue de buena fe. Los datos de contacto están también en xeneural.com/.well-known/security.txt.
Vigente desde 28 de septiembre de 2026. Las versiones anteriores se conservan y se facilitan escribiendo a legal@xeneural.com.
