Seguridad y tratamiento de datos

1. Enfoque

Aplicamos un enfoque de seguridad proporcionado a la naturaleza del servicio y a los datos tratados, conforme al principio de protección de datos desde el diseño y por defecto (art. 25 RGPD) y a la obligación de seguridad (art. 32 RGPD).

2. Medidas actualmente aplicadas

En la arquitectura actual se aplican, entre otras, las siguientes medidas:

• Control de acceso al panel de administración mediante autenticación con contraseña cifrada (hash) y tokens de sesión con expiración.
• Comunicaciones cifradas mediante HTTPS en el acceso a la web y a la API.
• Acceso a la base de datos restringido a la propia aplicación.
• Aislamiento lógico de los datos de cada empresa cliente en el diseño del servicio Mike: ninguna empresa puede acceder a los datos de otra.
• Aprobación humana previa para las acciones relevantes configuradas en el sistema (regla de supervisión).

3. Lo que este documento NO afirma

No afirmamos disponer de certificaciones (ISO 27001, SOC 2 u otras), auditorías externas de seguridad ni esquemas de cifrado concretos distintos de los indicados. Si en el futuro se obtienen certificaciones o se implementan medidas adicionales, este documento se actualizará antes de publicitarse.

4. Medidas pendientes de definición

Las siguientes cuestiones se documentarán cuando la infraestructura definitiva del servicio esté cerrada: proveedor y ubicación del alojamiento final, política de copias de seguridad y restauración, plazos de conservación de registros técnicos, gestión de accesos del equipo y procedimientos de respuesta ante incidentes. [PENDIENTE DE DEFINIR]

5. Brechas de seguridad

En caso de brecha de seguridad que afecte a datos personales tratados por cuenta de un cliente, se notificará al responsable sin dilación indebida conforme al DPA. Para los tratamientos como responsable, se aplicarán las obligaciones de notificación a la AEPD y comunicación a los interesados cuando resulten exigibles.