Seguridad y Confianza/Trust Center Técnico
Trust Center Técnico

Arquitectura de seguridad de Kimun.

Documentación técnica para equipos de TI, compliance y seguridad institucional. Detalle completo de controles, arquitectura y auditorías.

Solicitar DPA

Controles

Stack de seguridad.

Infraestructura

  • Vercel Edge Network — deploy global con CDN
  • Base de datos Neon (Postgres serverless) con TLS en tránsito
  • Row-Level Security (RLS) habilitado en todas las tablas sensibles
  • KV Redis para sesiones y caché — aislado por tenant
  • Almacenamiento de archivos en objeto privado con URLs firmadas

Autenticación y Accesos

  • Auth.js v5 con providers OAuth: Google, Apple, Microsoft
  • Sin contraseñas locales — zero-knowledge en credenciales
  • Sesiones revocables con token de rotación automática
  • IDOR mitigado: validación de ownership en cada endpoint
  • Control de acceso basado en rol (RBAC) por organización

Hardening HTTP

  • Content Security Policy (CSP) estricta con nonces
  • HSTS preload, X-Frame-Options, X-Content-Type-Options
  • Rate limiting por IP y por usuario en endpoints críticos
  • CSRF tokens en mutaciones de estado
  • Headers de seguridad auditados — grado A en Observatory

Proxy y API

  • Proxy reverso en Edge para APIs de terceros (sin exposición de keys al cliente)
  • Validación de firma HMAC en webhooks WhatsApp y pagos
  • Parametrización SQL — 0 queries con string interpolation
  • Sanitización de inputs en todos los endpoints públicos
  • Timeouts y circuit breakers en llamadas externas

Datos y Privacidad

  • Separación de datos por organización a nivel de base de datos
  • RLS enforced — ningún query accede datos de otro tenant
  • Datos clínicos no usados para entrenar modelos IA
  • Retención configurable — datos eliminables bajo solicitud
  • DPA disponible para clínicas piloto (Ley 19.628 / 20.584)

Monitoreo y Respuesta

  • Logs estructurados de acciones clínicas relevantes
  • Alertas automáticas ante anomalías de acceso
  • Trazabilidad de operaciones por usuario y sesión
  • Auditoría externa completada — Jun 2026
  • Hallazgos críticos y altos remediados previo a producción

Stack

Tecnologías usadas.

Next.js 15

Framework App Router

Auth.js v5

OAuth + sesiones

Neon Postgres

DB serverless + RLS

Vercel Edge

CDN + middleware

Upstash Redis

Sesiones + rate limit

Vercel Blob

Archivos firmados

Gemini API

IA — datos no retenidos

Twilio / Meta

WhatsApp firmado HMAC

Auditorías

Historial y roadmap de seguridad.

Jun 2026Completado

Auditoría de seguridad externa

Revisión de autenticación, RLS, IDOR, hardening HTTP, gestión de secrets y arquitectura de datos.

Jun 2026Completado

Remediación de hallazgos críticos

Todos los hallazgos críticos y altos corregidos. Resultados documentados en Security Brief.

Jun 2026Completado

Publicación política de privacidad

Política pública disponible con tratamiento de datos, retención y derechos ARCO.

Q3 2026Pendiente

Pentest externo planificado

Black-box penetration testing con empresa certificada.

Q4 2026Pendiente

SSO institucional (SAML/OIDC)

Integración SSO para hospitales y clínicas con directorio propio.

2027Planificado

Cifrado en reposo avanzado + RLS org

Cifrado AES-256 a nivel columna para datos sensibles y RLS multi-organización.

¿Necesitas más detalle técnico?

Para due diligence institucional, DPA firmado o revisión técnica con tu equipo de TI, contáctanos directamente.

Contactar equipo técnico