Política de Seguridad / Security Policy — Inquilino

Estándares de Seguridad de la Información KiriLabs SpA implementa controles alineados con la norma internacional ISO/IEC 27001, las guías del CSIRT gubernamental de Chile y las obligaciones de seguridad de la Ley N° 21.719 sobre Protección de Datos Personales.

1. Principios Fundamentales de Seguridad

La arquitectura tecnológica de Inquilino se rige por los principios de seguridad por diseño (Security by Design) y privacidad por defecto (Privacy by Default), garantizando la confidencialidad, integridad, trazabilidad y resiliencia de todos los tratamientos de datos.

2. Cifrado y Protección Criptográfica

2.1 Datos en Tránsito

Todas las conexiones de red entre la aplicación móvil (iOS y Android) y nuestros servidores de backend se realizan obligatoriamente mediante protocolos TLS 1.3 / HTTPS con cipher suites modernas y Perfect Forward Secrecy (PFS).

2.2 Datos en Reposo

Las bases de datos, copias de seguridad (backups) y sistemas de almacenamiento en la nube se encuentran cifrados bajo el estándar AES-256 gestionado mediante claves criptográficas rotadas periódicamente.

2.3 Almacenamiento Seguro de Credenciales

Las contraseñas de los Usuarios nunca se almacenan en texto plano. Se procesan mediante funciones de derivación de claves robustas con sal aleatoria (PBKDF2/Bcrypt).

3. Seguridad de Infraestructura y Red

Nuestros servicios operan en centros de datos certificados (Google Cloud Platform y AWS) bajo arquitectura de microservicios aislados, firewalls de aplicaciones web (WAF), mitigación automática contra ataques distribuidos de denegación de servicio (DDoS) y segmentación de redes privadas virtuales (VPC).

4. Control de Acceso y Gestión de Identidades

El acceso a los entornos de producción está estrictamente restringido bajo el principio de mínimo privilegio (Least Privilege) y control de acceso basado en roles (RBAC), exigiendo autenticación multifactor (MFA) con claves de seguridad de hardware o tokens TOTP.

5. Auditorías Continuas y Análisis de Vulnerabilidades

Efectuamos análisis estáticos de seguridad de código (SAST), escaneos continuos de dependencias contra bases de vulnerabilidades (CVE) y pruebas de penetración (pentesting) periódicas tanto internas como a través de especialistas externos independientes.

6. Gestión de Brechas de Seguridad y Notificación Legal (Ley N° 21.719)

Protocolo de Notificación de Incidentes En cumplimiento estricto del Artículo 26 y concordantes de la Ley N° 21.719 de Chile, ante cualquier vulneración a la seguridad que comprometa la confidencialidad o integridad de datos personales, KiriLabs SpA notificará a la Agencia de Protección de Datos Personales de Chile y a los titulares afectados sin dilación indebida y dentro de las 72 horas siguientes a la toma de conocimiento del evento.

Contamos con un protocolo formal de respuesta a incidentes de ciberseguridad coordinado con las directrices del CSIRT nacional para aislar, mitigar y erradicar cualquier amenaza.

7. Ciclo de Vida de Desarrollo Seguro (DevSecOps)

La seguridad está integrada en cada fase de nuestros pipelines de integración y despliegue continuo (CI/CD). Ninguna versión de la aplicación o del backend se promueve a producción sin pasar verificaciones automatizadas de seguridad y revisión por pares (peer review).

8. Buenas Prácticas y Responsabilidades del Usuario

Recomendamos a los Usuarios mantener actualizados sus sistemas operativos móviles (iOS y Android), utilizar contraseñas seguras y únicas, habilitar el bloqueo biométrico de su teléfono y no compartir sus credenciales de acceso con terceros.

9. Programa de Divulgación Responsable de Vulnerabilidades

Agradecemos la colaboración ética de la comunidad de investigadores en ciberseguridad. Si descubre una potencial vulnerabilidad, solicitamos nos contacte de manera confidencial en support@kiriapp.dev antes de cualquier divulgación pública. KiriLabs SpA se compromete a no iniciar acciones legales contra investigadores que actúen de buena fe.

10. Contacto de Ciberseguridad

Para reportes técnicos de seguridad o alertas operativas:

Equipo de Ciberseguridad: support@kiriapp.dev
Canal de Privacidad y DPO: privacy@kiriapp.dev
KiriLabs SpA: Santiago, Región Metropolitana, Chile

Information Security Standards KiriLabs SpA implements technical and organizational safeguards aligned with ISO/IEC 27001, Chilean governmental CSIRT advisories, and the statutory security requirements of Chilean Law No. 21.719 on Personal Data Protection.

1. Fundamental Security Principles

Inquilino's technical architecture is founded on Security by Design and Privacy by Default, ensuring confidentiality, integrity, auditability, and operational resilience across all data processing environments.

2. Cryptographic Controls & Data Protection

2.1 Data in Transit

All network communications between mobile clients (iOS and Android) and backend APIs mandate TLS 1.3 / HTTPS with modern cipher suites and Perfect Forward Secrecy (PFS).

2.2 Data at Rest

Databases, backups, and cloud storage volumes are encrypted using the AES-256 standard with automated cryptographic key management.

2.3 Credential Storage

User passwords are never stored in plaintext. They are protected using one-way salted cryptographic hashing algorithms (PBKDF2/Bcrypt).

3. Infrastructure & Network Security

Our microservices run in certified tier-3 data centers (Google Cloud Platform and AWS) protected by Web Application Firewalls (WAF), automated DDoS mitigation, and isolated Virtual Private Clouds (VPC).

4. Access Control & Identity Management

Access to production infrastructure adheres to the principle of least privilege and Role-Based Access Control (RBAC), requiring mandatory multi-factor authentication (MFA) via hardware security keys or TOTP tokens.

5. Continuous Auditing & Vulnerability Testing

We execute Static Application Security Testing (SAST), automated vulnerability dependency scans, and regular independent penetration testing to ensure application resilience.

6. Incident Management & Statutory Notification (Law No. 21.719)

Incident Notification Protocol In strict accordance with Chilean Law No. 21.719, in the event of a confirmed security incident affecting personal data confidentiality or integrity, KiriLabs SpA will notify the Chilean Personal Data Protection Agency and affected users without undue delay and within 72 hours of becoming aware of the breach.

A formal incident response procedure is maintained to promptly contain, isolate, and eradicate potential security threats.

7. Secure Software Development (DevSecOps)

Automated security checks and rigorous peer reviews are integrated into our CI/CD pipelines. No code is deployed to production without passing comprehensive security testing.

8. User Responsibilities & Best Practices

We encourage users to keep device operating systems updated, choose strong and unique account passwords, and avoid sharing access credentials with third parties.

9. Responsible Vulnerability Disclosure

We welcome ethical security researchers to report potential vulnerabilities confidentially to support@kiriapp.dev before any public disclosure. KiriLabs SpA will not pursue legal action against researchers acting in good faith.

10. Security Contact

To submit security reports or communicate with our response team:

Security Team: support@kiriapp.dev
Privacy Channel & DPO: privacy@kiriapp.dev
Company: KiriLabs SpA · Santiago, Chile