DeepMech - Libro blanco de seguridad de datos

Versión: v2.0｜Fecha de actualización: 2026-07-14 Ámbito de aplicación: DeepMech Basic, DeepMech Pro y DeepMech Enterprise

Lo que nos confía no son solo planos: también datos de cotización, información de clientes, credenciales de cuenta e información de pago. Los consideramos activos centrales de su empresa y los protegemos categoría por categoría desde la arquitectura del producto, no con parches posteriores.

Este libro blanco describe las medidas técnicas de protección ya implantadas y nuestros compromisos de cumplimiento.

1. Qué datos protegemos

2. Procesamiento local de planos (diferencia clave)

Los SaaS de mecanizado suelen exigir que el cliente suba el plano completo al servidor para que la IA lo analice y devuelva la cotización. Ese proceso implica que los datos críticos de sus planos salen de su equipo y entran en un servidor de terceros.

Hemos adoptado una arquitectura completamente distinta:

• El análisis inteligente por IA se realiza prioritariamente en local, en su cliente de escritorio; en la fase de cotización solo se suben parámetros característicos anonimizados (coordenadas de agujeros, cotas, grados de tolerancia, requisitos de tratamiento superficial y otros campos estructurados), no el plano en sí
• Cuando se requiere análisis IA, el plano viaja por un canal TLS cifrado y se almacena cifrado en el servidor, visible solo para su cuenta
• Los documentos externos no incluyen el plano por defecto: al enviar una cotización o una orden de compra a un colaborador, el destinatario solo ve por defecto el contenido del documento y su firma corporativa; únicamente cuando usted, al enviar, decide compartir el plano, el destinatario designado puede verlo (usted decide si se permite descargar el original; al anular el documento, el acceso compartido caduca de inmediato)

3. Aislamiento de datos de cotización y de negocio

Las cotizaciones contienen su estructura de costos y su lista de clientes; esta protección también es de nivel arquitectónico:

• Aislamiento estricto por cuenta: las cotizaciones, las fichas de clientes y los parámetros de costo se validan por pertenencia a la cuenta, y cada acceso a la API verifica la propiedad del recurso
• Proyección por lista blanca al compartir: la página de consulta en línea y la bandeja del destinatario muestran únicamente los campos de la cotización externa (descripción, cantidad, precio unitario, subtotal); sus campos sensibles como costos internos, margen de utilidad o tarifas horarias nunca se envían; se trata de una lista blanca en el servidor, no de un ocultamiento en la interfaz
• Enlaces de compartición con token: cada cotización externa usa un enlace con token aleatorio independiente, imposible de enumerar o adivinar
• Los parámetros de precio personalizados de Pro (sus precios de material y tarifas de mecanizado) se usan solo para sus propios cálculos de costo; no se comparten ni se muestran agregados a ningún otro usuario

4. Los datos de clientes no se usan para entrenar modelos

Nos comprometemos solemnemente:

• Sus planos, datos de cotización e información de negocio no se incorporan a los conjuntos de datos de entrenamiento de nuestros modelos de IA
• Los modelos que hemos entrenado se basan en conjuntos de datos públicos y datos autorizados por clientes colaboradores
• La cadena de llamadas a la IA aplica anonimización: el contenido del usuario en los registros de llamadas pasa por un filtro de información sensible y los nombres de archivo se sustituyen por un hash; no se registra el nombre original
• Si en el futuro necesitáramos datos de un cliente concreto para optimizar el modelo (por ejemplo, entrenar para un proceso especial), firmaríamos previamente un acuerdo de autorización específico que indique el uso, el alcance y el plazo; nunca los usaríamos sin el conocimiento del cliente

Este compromiso está recogido en las condiciones de nuestro acuerdo de servicio.

5. Seguridad de cuentas y dispositivos

• Las contraseñas se almacenan con hash unidireccional bcrypt: salt rounds = 10, conforme a la línea base recomendada por OWASP; ni el personal de DeepMech puede ver su contraseña en texto claro
• Vinculación «un código, un equipo»: el código de activación se vincula a la huella del dispositivo y no es posible iniciar sesión desde un equipo no vinculado; el cambio de equipo se gestiona de forma autónoma, con un máximo de 2 veces en 30 días consecutivos, para evitar el uso compartido abusivo de la cuenta
• Un solo dispositivo en línea: una misma cuenta solo puede tener 1 dispositivo en línea a la vez; un nuevo inicio de sesión cierra la sesión anterior
• Autenticación JWT Bearer Token + firma de solicitudes HMAC-SHA256: cada solicitud del cliente de escritorio va firmada para evitar ataques de repetición y manipulación
• Aislamiento de credenciales: en el cliente de escritorio, las claves sensibles y la lógica de firma se ejecutan en el proceso principal de Electron y no se exponen al proceso de renderizado

6. Seguridad de pagos

• Todos los pagos se realizan a través de los canales oficiales de WeChat Pay y Alipay, escaneando el código directamente en la caja oficial
• DeepMech no accede ni almacena su número de tarjeta bancaria, contraseña de pago ni ninguna credencial de pago; nuestro sistema registra únicamente el número de pedido, el importe y el número de transacción devuelto por el canal de pago
• Las notificaciones de pago pasan por la verificación de firma oficial antes de contabilizarse, lo que evita notificaciones falsificadas

7. Control de acceso y auditoría

• Validación de propiedad del recurso: cada API verifica que el usuario actual sea propietario del recurso; los datos de distintos clientes están estrictamente aislados
• Permisos escalonados en el panel de administración: superadministradores, comerciales y administradores ordinarios disponen cada uno de los permisos mínimos necesarios
• Registro de operaciones: las operaciones clave (modificación de datos, cambios de estado, acciones administrativas, etc.) quedan registradas y son auditables y trazables
• Trazabilidad de llamadas a la IA: cada llamada a la IA registra el solicitante, el escenario y la duración; el contenido se conserva anonimizado y se elimina automáticamente a los 30 días

8. Minimización y eliminación de datos

• Recogida mínima necesaria: solo se recoge la información que el negocio realmente necesita; no se recopilan datos ajenos al servicio
• Plazo de conservación: los documentos de negocio se conservan el plazo necesario exigido por la normativa (comprobantes fiscales, resolución de disputas) y se eliminan al vencer
• Eliminación a petición del cliente: puede solicitar en cualquier momento la eliminación de sus datos; completaremos el borrado lógico de metadatos y la eliminación física de archivos en un plazo de 30 días naturales

9. Límites de datos de los informes profesionales

Para el servicio de informes profesionales (oportunidades de mercado / verificación de riesgos):

• El informe se entrega únicamente al correo indicado al pagar y nunca se facilita a terceros
• Toda la información de investigación procede de fuentes públicas (medios, registros judiciales, registros mercantiles, bases de datos comerciales, redes sociales); no se obtiene ningún dato no público
• La información del sujeto investigado que usted proporciona se usa solo para generar ese informe y no entra en ningún fondo de datos compartido

10. Respuesta ante incidentes de seguridad

Si se produce un incidente de seguridad que afecte a datos de clientes:

• En un plazo de 72 horas se notifica por escrito a los clientes afectados, indicando la naturaleza del incidente, su alcance y las medidas iniciales adoptadas
• Informe completo del incidente: una vez concluida la investigación, se entrega un informe completo con análisis de causa raíz y medidas de mejora
• Cooperación con la investigación del cliente: si el área legal o de auditoría del cliente lo requiere, colaboramos aportando las evidencias técnicas necesarias

11. Divulgación de vulnerabilidades y consultas de seguridad

Animamos a los investigadores de seguridad a divulgar vulnerabilidades de forma responsable:

• Correo de consultas de seguridad:legal@jiagong.ai
• Respuesta a vulnerabilidades: respuesta en 5 días hábiles tras recibir un informe de vulnerabilidad válido y cierre en 30 días
• Reconocimiento y recompensas: a los investigadores que nos ayuden a mejorar la seguridad les agradecemos públicamente y, según la gravedad, ofrecemos una recompensa

12. Cumplimiento normativo

El diseño y la operación de nuestro producto cumplen con:

• la Ley de Ciberseguridad de la República Popular China
• la Ley de Seguridad de Datos de la República Popular China
• la Ley de Protección de la Información Personal de la República Popular China
• la Especificación de seguridad de la información personal (GB/T 35273)

Si su sector tiene requisitos de cumplimiento especiales (defensa, dispositivos médicos, proveedores automotrices de primer nivel, etc.), le invitamos a confirmarlos con nuestro equipo comercial.

Contacto

• Consultas generales:support@jiagong.ai
• Seguridad / asuntos legales:legal@jiagong.ai
• Teléfono de atención: 4009-128-168
• Empresa: Landau Suzhou LLC
• Dirección: N.º 369, Xiangtai Road, Yangchenghu Town, distrito de Xiangcheng, Suzhou