Seguridad
Esta página describe las medidas técnicas y organizativas que aplicamos para proteger los datos que tratamos. Las medidas se revisan de forma continua y pueden evolucionar con el tiempo.
1. Minimización de datos mediante la arquitectura
- Tratamiento transitorio de imágenes. Las imágenes enviadas no se almacenan en reposo. Solo se mantienen en memoria y en búferes de procesamiento temporales durante el análisis, y se eliminan inmediatamente después. Esta es la medida central de minimización de datos del Servicio.
- Conservación limitada en el tiempo de los PDF. Los informes PDF generados se conservan durante un periodo determinado (7, 14 o 30 días según el producto) y después se eliminan automáticamente.
- Eliminación a iniciativa del usuario. Los usuarios pueden eliminar un análisis concreto a demanda, lo que elimina el PDF, la vista previa y los metadatos operativos.
- Sin conservación a largo plazo de contenido personal en los registros. Los registros operativos no contienen contenido personal. Los registros de aplicación se conservan solo lo necesario para el diagnóstico y se rotan periódicamente.
2. Cifrado
- En tránsito: TLS 1.2 o superior para todas las conexiones de cliente y para las conexiones entre nuestros servicios y los subencargados del tratamiento.
- En reposo: el almacenamiento de objetos utiliza cifrado gestionado por el proveedor (Cloudflare R2). El almacenamiento de la base de datos de la aplicación está cifrado a nivel de disco por el proveedor de alojamiento.
- Contraseñas: almacenadas únicamente como hashes bcrypt. Nunca se almacenan contraseñas en texto sin cifrar.
- Claves API: almacenadas únicamente como hashes SHA-256. Las claves en texto sin cifrar se muestran una sola vez en la creación y nunca más.
- Firmas de webhook: las cargas útiles de los webhooks se firman con HMAC-SHA256 utilizando un secreto por clave, lo que permite a los destinatarios verificar la autenticidad.
3. Controles de acceso
- Autenticación de usuarios mediante cookies de sesión (HttpOnly, Secure, SameSite=Lax).
- Autenticación de integraciones de API mediante claves API con permisos delimitados y revocación.
- Protección CSRF en todas las solicitudes web que modifican el estado.
- Controles de acceso basados en roles que separan los contextos de administración, agencia, model y API.
- Principio de mínimo privilegio para las cuentas de servicio y el acceso a la infraestructura.
4. Seguridad de red y de aplicaciones
- Aplicación exclusiva de HTTPS con HSTS.
- Cabeceras de respuesta de seguridad (X-Content-Type-Options, X-Frame-Options, Content-Security-Policy, Referrer-Policy).
- Limitación de tasa a nivel de solicitud para mitigar ataques de fuerza bruta y abusos.
- Validación de entradas y consultas parametrizadas a la base de datos para mitigar ataques de inyección.
- Salvaguardas de idempotencia en los endpoints de mutación para mitigar abusos por reenvío y envío duplicado.
5. Seguridad operativa
- Copias de seguridad realizadas periódicamente y conservadas durante un periodo limitado; la restauración se prueba de forma periódica.
- Supervisión del estado del servicio, las tasas de error y la actividad anómala.
- Comprobaciones de latido (heartbeat) en los procesos en segundo plano; alertas ante bloqueos.
- Gestión de cambios con migraciones versionadas y despliegues auditados.
- Revisión periódica de los privilegios de acceso, los secretos y las versiones de dependencias.
6. Respuesta a incidentes
Mantenemos un procedimiento interno para gestionar los incidentes de seguridad, que incluye identificación, contención, investigación y notificación. Cuando una violación de la seguridad de los datos personales afecte a datos que tratamos, notificaremos a los Clientes afectados y, cuando proceda, a los reguladores y a los interesados, de conformidad con la legislación aplicable y el Acuerdo de Tratamiento de Datos.
7. Seguridad de los subencargados del tratamiento
Solo recurrimos a subencargados del tratamiento cuando cumplen nuestras expectativas de seguridad. Cada subencargado del tratamiento está obligado contractualmente a obligaciones de seguridad sustancialmente equivalentes a las descritas aquí. Nuestra lista actual de subencargados del tratamiento se publica en /legal/subprocessors.
8. Limitaciones
Ningún sistema puede garantizar una seguridad absoluta. Las medidas aquí descritas están diseñadas para reducir el riesgo, no para eliminarlo. Los usuarios deben adoptar sus propias medidas para proteger sus cuentas: usar una contraseña fuerte y única, mantener la confidencialidad de sus credenciales y comunicar con prontitud cualquier sospecha de vulneración.
9. Comunicación de una vulnerabilidad
Si cree que ha descubierto un problema de seguridad que afecta al Servicio, comuníquelo a través del canal de contacto indicado en la Política de privacidad. Le rogamos que nos conceda una oportunidad razonable para resolver el problema antes de su divulgación pública.