Términos del Servicio

Última actualización: 9 de noviembre de 2026

1. Quiénes somos y aceptación

Kuntur es un servicio de centro de operaciones de seguridad (SOC) operado con inteligencia artificial que presta Nexelion Inc., sociedad constituida en el estado de Florida, Estados Unidos, con domicilio en 66 West Flagler Street, Suite 900, Miami, FL, EE. UU. (“Nexelion”, “nosotros”), a través de kuntur.nexelion.us.

Estos Términos regulan el uso del servicio por la empresa u organización que lo contrata (el “Cliente”). Quien acepta en nombre del Cliente declara que tiene facultades para obligarlo. Al crear una cuenta, pagar una suscripción o instalar el sensor, el Cliente acepta estos Términos, la Política de Privacidad y el Acuerdo de Tratamiento de Datos, que forman parte de este contrato.

El servicio está dirigido a empresas. No se ofrece a consumidores ni para uso personal o doméstico.

Si un contrato firmado entre Nexelion y el Cliente (orden de compra, contrato Enterprise) contradice estos Términos, prevalece ese contrato en lo que regule expresamente.

2. Definiciones

3. Descripción del servicio, planes y cambios

Kuntur detecta, investiga y explica amenazas en la red del Cliente y propone cómo responder. Según el Plan, incluye monitoreo con Suricata y Zeek, detección con reglas e IA, gestión de vulnerabilidades, inteligencia de amenazas, avisos, respuesta en el firewall con aprobación, búsqueda en registros, búsqueda proactiva, análisis forense, escaneo de la superficie expuesta, informes y mapeo de cumplimiento.

Los beneficios, límites y frecuencias de cada Plan son los publicados en el sitio el día de la contratación o los de la orden de compra firmada.

El Cliente puede contratar complementos sobre su Plan, con el precio y las condiciones publicados al contratarlos. En Enterprise se ofrece el complemento de silo de datos dedicado: almacenamiento y búsqueda exclusivos para el Cliente, cifrados con una clave que el Cliente controla en su propia cuenta de AWS (BYOK). Sin ese complemento, los Datos del Cliente se guardan en la infraestructura compartida de Kuntur, separados lógicamente de los de otros clientes (sección 12).

Podemos mejorar o cambiar el Servicio. Si un cambio reduce de forma importante una función del Plan contratado, avisaremos con al menos 30 días de anticipación y el Cliente podrá cancelar sin penalidad antes de que el cambio aplique.

Kuntur no es un servicio de respuesta a incidentes en sitio, ni de recuperación de datos, ni de asesoría legal o de cumplimiento. El mapeo a marcos como ISO/IEC 27001, NIST CSF o PCI DSS ayuda a preparar auditorías y no equivale a una certificación.

4. Cuenta, usuarios y roles

El Cliente designa a sus Usuarios y les asigna un rol. El Cliente responde por lo que hagan sus Usuarios en el Servicio, incluidas las aprobaciones de acciones de respuesta.

El Cliente debe mantener datos de contacto correctos, proteger las credenciales, activar la verificación en dos pasos cuando esté disponible y avisarnos de inmediato a kuntur@nexelion.us si sospecha un acceso no autorizado.

Los códigos de enrolamiento del Sensor son de un solo uso y personales para el Cliente; no deben compartirse con terceros.

5. Sensor, autorización del Cliente y monitoreo de su red

El Cliente instala el Sensor en un equipo propio y decide qué tráfico y qué registros le envía. El Sensor observa una copia del tráfico: si se detiene, la red sigue funcionando igual.

El Cliente declara y garantiza que:

1. Es propietario de la red, los equipos y los registros que conecta al Servicio, o tiene autorización escrita de su titular.
2. Ha cumplido las leyes laborales, de telecomunicaciones y de protección de datos aplicables al monitoreo, incluidas las políticas internas y los avisos a empleados, contratistas y visitantes que usan su red.
3. No conectará redes de terceros sin su autorización.

El Sensor envía solo metadatos (direcciones, puertos, nombres de dominio, firmas, versiones de software, volúmenes). No envía el contenido de los paquetes, cuerpos de páginas ni archivos, y enmascara contraseñas, claves y datos personales evidentes en los registros antes de enviarlos.

El Sensor puede escanear la red interna del Cliente para descubrir equipos y servicios, solo en la ventana horaria y sobre los rangos que el Cliente configure, y puede desactivarlo en cualquier momento. El Cliente debe mantener el sistema operativo del equipo del Sensor actualizado.

6. Respuesta con aprobación humana

Kuntur nunca ejecuta una acción en los sistemas del Cliente sin la aprobación expresa de un Usuario autorizado. La única acción posible es bloquear o desbloquear temporalmente una IP o un dominio en el firewall del Cliente (planes Business, Corporate y Enterprise), dentro de un alias o lista reservado para Kuntur.

• Aprobación: la da un Usuario con rol de analista o superior; en Enterprise se requieren dos personas distintas. Cada aprobación queda registrada con autor, fecha y comentario.
• Límites: cada bloqueo dura entre 1 hora y 7 días y vence solo. Nunca se bloquean direcciones privadas, las redes internas declaradas ni la lista de protección del Cliente.
• Reversibilidad: el Cliente puede deshacer un bloqueo en cualquier momento desde el panel.
• Credenciales del firewall: se guardan solo en el equipo del Sensor y no se envían a Kuntur.

El Cliente es responsable de decidir si aprueba una acción y de sus efectos en su operación, incluido el bloqueo de un servicio legítimo. La recomendación de Kuntur es una propuesta, no una instrucción.

Si el Cliente prefiere no conectar su firewall, el Servicio funciona igual y las mitigaciones se aplican manualmente.

7. Escaneo de la superficie expuesta

En los planes Business, Corporate y Enterprise, Kuntur revisa desde internet los puertos y certificados de los activos del Cliente. Solo escanea:

• dominios cuya titularidad el Cliente demuestre con el registro DNS TXT que indica el panel;
• las direcciones IP públicas a las que apuntan esos dominios;
• la IP pública desde la que se conecta el Sensor del Cliente.

El escaneo es liviano: comprueba si un puerto responde y lee el certificado. No prueba contraseñas, no explota vulnerabilidades y no envía cargas de ataque.

Para activar el escaneo de un dominio, un administrador del Cliente debe aceptar expresamente en el panel que el Cliente tiene autorización para que se escaneen esos activos, incluidos los alojados por terceros (proveedor de hosting o nube), y que avisará a esos proveedores si sus condiciones lo exigen. La aceptación queda registrada con su autor y fecha.

8. Inteligencia artificial: alcance y límites

Kuntur usa modelos de IA de terceros (Anthropic y, como respaldo, OpenAI) para resumir, priorizar y explicar alertas y para revisar hallazgos de búsqueda proactiva. Lo que ve la IA son los metadatos ya enmascarados del evento, no el contenido del tráfico.

• El Contenido generado puede ser incompleto o erróneo. El Cliente debe revisarlo antes de tomar decisiones; Kuntur lo presenta como apoyo a una persona, nunca como decisión automática.
• Ninguna acción de respuesta la decide la IA: siempre requiere aprobación humana (sección 6).
• Nexelion no usa los Datos del Cliente para entrenar modelos de IA propios ni de terceros. Usa los servicios comerciales (API) de sus proveedores de IA, cuyas condiciones excluyen el entrenamiento con los datos enviados.
• Si un proveedor de IA no responde, el Servicio sigue funcionando con reglas fijas y así lo indica.

9. Uso aceptable

El Cliente y sus Usuarios no pueden:

1. Usar el Servicio para vigilar, escanear o atacar redes, dominios o personas sin autorización.
2. Intentar acceder a datos de otros clientes, eludir límites del Plan o los controles de seguridad del Servicio.
3. Hacer ingeniería inversa del Servicio o del Sensor, salvo lo que la ley permita expresamente.
4. Realizar pruebas de penetración o de carga contra la plataforma sin autorización escrita de Nexelion.
5. Revender, sublicenciar u ofrecer el Servicio a terceros, salvo un acuerdo de socio (MSP) firmado.
6. Enviar al Servicio datos de categorías especiales que no sean necesarios para la seguridad (por ejemplo, historiales médicos o datos de tarjetas completos) de forma deliberada.
7. Usar el Servicio en infracción de leyes de exportación, sanciones o derechos de terceros.

Nexelion puede suspender el acceso de forma proporcionada si detecta un uso que ponga en riesgo el Servicio, a otros clientes o a terceros, y avisará al Cliente con la mayor antelación posible.

10. Precios, facturación, renovación y cancelación

• Precio: el del Plan y periodo (mensual o anual) elegidos al contratar, en dólares estadounidenses y sin impuestos.
• Uso por encima del Plan: cada Plan incluye una cantidad de equipos y de eventos al mes. Lo que exceda se cobra en la factura siguiente según la tarifa publicada para ese Plan, y el panel muestra el consumo durante el mes.
• Impuestos: cuando corresponda, el IVA u otros impuestos indirectos se calculan y cobran en la factura según el país del Cliente. Las retenciones en la fuente que exija la ley del Cliente corren por su cuenta: el Cliente pagará el monto necesario para que Nexelion reciba el precio completo.
• Pago: por adelantado, con tarjeta u otros medios a través de Stripe. Nexelion no guarda los datos completos de la tarjeta.
• Renovación automática: la suscripción se renueva por periodos iguales hasta que el Cliente la cancele desde el panel. Avisaremos por correo antes de cada renovación anual.
• Cambios de precio: se avisan con al menos 30 días y aplican desde la siguiente renovación.
• Oferta promocional: cuando se publique, sus condiciones (precio, duración, cupos limitados) se muestran al contratar y aplican solo durante el periodo indicado.
• Cancelación: surte efecto al final del periodo pagado; el Servicio sigue activo hasta entonces. Salvo que la ley aplicable disponga otra cosa, no hay reembolsos por periodos parciales.
• Mejora y reducción de Plan: la mejora aplica de inmediato con cobro prorrateado; la reducción aplica en la siguiente renovación.
• Falta de pago: tras avisar y dar al menos 14 días para regularizar, podemos suspender el Servicio. Los datos se conservan durante la suspensión según la sección 18.

11. Datos del Cliente y protección de datos

El Cliente conserva la titularidad de los Datos del Cliente. Nexelion los trata solo para prestar, mantener y proteger el Servicio, siguiendo las instrucciones del Cliente expresadas en estos Términos y en la configuración del panel.

Respecto de los datos personales contenidos en los Datos del Cliente, el Cliente es el responsable y Nexelion actúa como encargado, en los términos del Acuerdo de Tratamiento de Datos publicado en kuntur.nexelion.us, que el Cliente acepta al contratar.

Nexelion puede usar estadísticas agregadas y anónimas sobre amenazas (por ejemplo, cuántos clientes vieron la misma IP maliciosa) para mejorar la detección para todos, sin identificar al Cliente ni a personas. El Cliente puede excluirse en cualquier momento desde el panel.

Nexelion no vende Datos del Cliente ni los usa para publicidad.

12. Seguridad, disponibilidad y soporte

Seguridad. Nexelion aplica medidas técnicas y organizativas razonables: comunicación del Sensor con certificados mutuos (mTLS), cifrado en tránsito y en reposo con claves gestionadas en AWS KMS, aislamiento de datos por cliente, registro de auditoría de decisiones y acceso mínimo del personal. El detalle está en la Política de Privacidad.

Disponibilidad. Buscamos que el panel y la ingesta estén disponibles al menos el 99,5 % de cada mes calendario, sin contar mantenimientos avisados con 48 horas ni causas fuera de nuestro control. En los planes Starter, Business y Corporate es un objetivo. En Enterprise, si no se cumple, el Cliente recibe un crédito sobre la cuota de ese mes: 10 % si la disponibilidad queda por debajo del 99,5 % y 25 % si queda por debajo del 99,0 %, a solicitud dentro de los 30 días siguientes; los créditos son la única compensación por indisponibilidad. Si el Servicio no está disponible, el Sensor guarda los eventos localmente y los envía al recuperarse, dentro de su capacidad de almacenamiento.

Soporte. Respondemos las consultas en menos de 1 día hábil por los canales del panel. La escalada a guardia (PagerDuty) aplica en Enterprise.

13. Propiedad intelectual y comentarios

El Servicio, el Sensor, las reglas de detección, la marca Kuntur y su documentación son de Nexelion o de sus licenciantes. Mientras la suscripción esté vigente, Nexelion otorga al Cliente una licencia limitada, no exclusiva e intransferible para usarlos en su operación interna.

El Sensor incluye o se apoya en software de código abierto (por ejemplo, Suricata, Zeek y nmap) que se rige por sus propias licencias.

Los informes generados para el Cliente pueden ser usados libremente por él, incluso entregarlos a auditores o a su junta directiva.

Si el Cliente envía sugerencias, Nexelion puede usarlas sin obligación alguna, sin revelar al Cliente como su autor.

14. Confidencialidad

Cada parte protegerá la información confidencial de la otra con al menos el mismo cuidado que usa para la propia, y nunca menos que un cuidado razonable. Solo la compartirá con empleados, contratistas y proveedores que la necesiten para cumplir estos Términos y que estén obligados a guardarla.

No es confidencial lo que ya era público, lo que la parte ya conocía o desarrolló por su cuenta, ni lo que recibió lícitamente de un tercero. Si una autoridad exige revelar información, la parte avisará a la otra cuando la ley lo permita y revelará solo lo necesario.

Los hallazgos de seguridad del Cliente (vulnerabilidades, incidentes) son información confidencial del Cliente.

15. Garantías y exclusiones

Nexelion garantiza que prestará el Servicio con diligencia profesional y de forma sustancialmente conforme a su descripción. Si no lo hace, el Cliente debe avisarnos y corregiremos la falla en un plazo razonable; si no podemos, el Cliente puede terminar y recibir el reembolso proporcional de lo pagado por el periodo no utilizado.

Ningún servicio de seguridad puede detectar o detener todas las amenazas. Kuntur reduce el riesgo, no lo elimina. Nexelion no garantiza que el Servicio detecte todo ataque, vulnerabilidad o fuga, que funcione sin interrupciones, ni que el Contenido generado sea exacto.

El Servicio no sustituye las copias de seguridad, la actualización de sistemas, las contraseñas robustas ni las demás medidas de seguridad que el Cliente debe mantener.

Fuera de lo expresado en esta sección, y en la medida que la ley lo permita, el Servicio se ofrece “tal cual” y Nexelion no otorga otras garantías expresas ni implícitas.

16. Limitación de responsabilidad

En la medida que la ley lo permita:

1. La responsabilidad total de cada parte por todo reclamo relacionado con el Servicio se limita a lo que el Cliente pagó por el Servicio en los 12 meses anteriores al hecho que origina el reclamo.
2. Ninguna parte responde por lucro cesante, pérdida de ingresos, de datos o de reputación, ni por daños indirectos, especiales o punitivos.
3. Nexelion no responde por daños causados por el atacante, por acciones de respuesta aprobadas por el Cliente, por instrucciones o configuraciones del Cliente, ni por fallas de sus equipos, firewall o proveedores.

Estos límites no aplican a la obligación de pagar, al incumplimiento de confidencialidad, a la indemnización de la sección 17, ni a los casos de dolo o culpa grave, ni donde la ley aplicable no permita limitar la responsabilidad.

17. Indemnización

Por Nexelion. Nexelion defenderá al Cliente frente a reclamos de terceros que aleguen que el Servicio, usado conforme a estos Términos, infringe sus derechos de propiedad intelectual, y pagará lo que se condene o acuerde. Si ocurre, podremos modificar el Servicio, obtener la licencia o, si nada de eso es razonable, terminar y reembolsar lo pagado por el periodo no utilizado.

Por el Cliente. El Cliente defenderá a Nexelion frente a reclamos de terceros derivados de (a) monitorear o escanear redes, equipos o dominios sin autorización, (b) no dar los avisos o no obtener los consentimientos exigidos para el monitoreo, o (c) usar el Servicio en infracción de la sección 9.

La parte que pide la defensa debe avisar a tiempo, ceder el control de la defensa y colaborar razonablemente.

18. Vigencia, suspensión y terminación

Estos Términos rigen mientras el Cliente tenga una suscripción activa. Cualquiera de las partes puede terminar si la otra incumple de forma grave y no lo corrige en 30 días desde el aviso.

Al terminar:

1. Se cierra el acceso al panel y el Sensor deja de enviar datos; el Cliente debe desinstalarlo.
2. Durante 30 días el Cliente puede pedir la exportación de sus alertas, decisiones e informes en formato JSON.
3. Pasado ese plazo, eliminamos los Datos del Cliente de los sistemas activos en un máximo de 30 días adicionales, y de las copias de respaldo cuando se renueven, salvo lo que la ley obligue a conservar (por ejemplo, registros de facturación).
4. Los bloqueos activos en el firewall vencen en su plazo; el Cliente puede retirarlos antes desde su firewall.

Sobreviven a la terminación las secciones de confidencialidad, propiedad intelectual, limitación de responsabilidad, indemnización, pagos pendientes y ley aplicable.

19. Ley aplicable y resolución de disputas

Estos Términos se rigen por las leyes del estado de Florida, Estados Unidos, sin aplicar sus normas de conflicto de leyes.

Antes de iniciar un proceso, las partes intentarán resolver la disputa de buena fe durante 30 días desde el aviso escrito. Si no se resuelve, se someterá a arbitraje internacional administrado por el Centro Internacional de Resolución de Disputas (ICDR) conforme a su Reglamento de Arbitraje Internacional, con un árbitro único, en español, con sede en Miami, Florida, y audiencias por videoconferencia. El laudo es definitivo y puede ejecutarse en cualquier país parte de la Convención de Nueva York.

Lo anterior no limita los derechos que las normas imperativas de protección de datos del país del Cliente otorgan a las personas ni las facultades de sus autoridades.

Cualquiera de las partes puede pedir medidas cautelares urgentes ante un tribunal competente para proteger su información confidencial o su propiedad intelectual.

20. Disposiciones generales y contacto

• Cambios a los Términos: avisaremos por correo y en el panel con al menos 30 días de anticipación. Si el Cliente no está de acuerdo, puede cancelar antes de que apliquen.
• Cesión: ninguna parte puede ceder estos Términos sin consentimiento de la otra, salvo en una fusión o venta de la mayor parte de su negocio, avisando por escrito.
• Fuerza mayor: ninguna parte responde por demoras causadas por hechos fuera de su control razonable, salvo las obligaciones de pago.
• Subcontratación: Nexelion puede usar proveedores para prestar el Servicio y responde por ellos.
• Referencias: Nexelion solo usará el nombre o logo del Cliente como referencia con su autorización escrita.
• Idioma: si existe una traducción, prevalece la versión en español.
• Divisibilidad y acuerdo completo: si una cláusula resulta inválida, el resto sigue vigente. Estos Términos, la Política de Privacidad, el Acuerdo de Tratamiento de Datos y la orden de compra forman el acuerdo completo.

Contacto: Nexelion Inc. — 66 West Flagler Street, Suite 900, Miami, FL, EE. UU. · kuntur@nexelion.us (asuntos legales, privacidad y seguridad).