Seguridad
Estas son las medidas técnicas y organizativas aplicadas actualmente. Esta página es el Anexo 2 de nuestro Contrato de encargo del tratamiento.
| Ámbito | Medida |
|---|---|
| Separación de clientes | Cada empresa cliente tiene su propio espacio. El acceso se comprueba en cada solicitud y hay pruebas automáticas que verifican que un cliente no puede llegar a los documentos de otro. |
| Acceso | Sin contraseñas: enlaces de un solo uso por correo, válidos 30 minutos. Las sesiones se guardan solo como hash SHA-256. Se rechazan las solicitudes procedentes de otros sitios web. |
| Cifrado en tránsito | HTTPS en todo el servicio, con certificados renovados automáticamente y HSTS. |
| Integridad del registro | Cada acción se escribe en un registro al que solo se pueden añadir entradas. Cada entrada incluye el hash SHA-256 de la anterior, y la base de datos rechaza modificaciones y borrados del registro. Cada archivo recibe una huella SHA-256 al subirse. |
| Almacenamiento | Los documentos se guardan en un almacenamiento de objetos con jurisdicción UE, con un bloqueo de 6 años contra borrado o sobrescritura. |
| Copias de seguridad | Copia diaria de todo el servidor y copia diaria de la base de datos enviada a un segundo proveedor cada 6 horas y conservada 90 días. |
| Acceso al servidor | Solo con claves SSH, acceso por contraseña desactivado; cortafuegos abierto solo para SSH, HTTP y HTTPS; protección contra ataques de fuerza bruta; actualizaciones de seguridad automáticas. |
| Secretos | Las claves y contraseñas están solo en el servidor, nunca en el repositorio de código. |
| Supervisión | Comprobación externa de disponibilidad cada 5 minutos, con alertas. |
Comunicar una vulnerabilidad
Si encuentras un problema de seguridad, escribe a hello@pescada.io. Por favor, no hagas pruebas con datos de otros clientes. Respondemos en un plazo de dos días laborables.