Seguridad de la plataforma

Esta página resume las medidas de seguridad que aplica esta instalación de ProInt-ENS. Describe solo lo que está realmente activo en este servidor; los valores (plazos, número de intentos, tamaños) son los configurados ahora mismo. La documentación que gestionan las organizaciones cliente puede ser confidencial aunque no contenga datos personales.

1. Acceso y cuentas

• Cuentas nominativas. Contraseñas de al menos 8 caracteres, con mayúsculas, minúsculas, números y símbolos. Se guardan solo como huella bcrypt: nadie, tampoco el administrador, puede leer una contraseña.
• Verificación en dos pasos obligatoria para todas las cuentas al iniciar sesión: una app autenticadora (TOTP), un código por email o Telegram.
• Tras 5 intentos fallidos la cuenta se bloquea 15 minutos; tras 20 intentos fallidos desde la misma dirección IP, esa IP se bloquea 15 minutos. El tiempo de respuesta del inicio de sesión no revela si un email está registrado.
• Una sola sesión activa por cuenta: al iniciar sesión en otro lugar, la anterior se cierra. La clave de sesión se guarda solo como huella, y la sesión se cierra sola tras 20 minutos sin actividad.
• Los enlaces de activación de cuenta, restablecimiento de contraseña e invitación son de un solo uso, caducan a las 72 horas y en la base de datos solo se guarda su huella: una copia de la base de datos no contiene enlaces válidos.

2. Separación de datos

• Cada persona ve solo las auditorías en las que participa y cuya invitación ha aceptado; cada Cliente, solo las suyas. El servidor lo comprueba en cada petición, no solo la pantalla.
• La separación entre organizaciones y auditorías está cubierta por pruebas automáticas de la plataforma.
• Los accesos repetidos a datos ajenos y las descargas o eliminaciones masivas generan un aviso inmediato al Administrador de la plataforma.

3. Integridad y trazabilidad

• Toda operación que modifica datos queda registrada con su autor —siempre la persona que ha iniciado sesión— y la fecha, al igual que los inicios de sesión; los accesos y las acciones sensibles, también con la dirección IP. El registro se conserva al menos 3 años; las entradas más antiguas solo pueden eliminarse después de descargarlas y confirmando con la contraseña.
• Cada documento queda identificado por su huella SHA-256, y las firmas electrónicas (PAdES) del Plan de Auditoría y del Documento final se verifican al subirlas. La huella acredita que un archivo no ha cambiado, no que su contenido sea suficiente como evidencia: eso lo valoran los profesionales de la auditoría.
• Una auditoría cerrada queda en solo lectura para todos los roles y se conserva al menos 3 años desde su cierre: durante ese plazo no se puede eliminar.

4. Cifrado

• Toda la comunicación con la plataforma va cifrada (HTTPS, TLS 1.2 o superior); el navegador recibe la orden de no conectar nunca sin cifrar (HSTS).
• Los mensajes del chat entre el Cliente y el equipo de cada auditoría se guardan cifrados en la base de datos.
• Las claves personales de los proveedores de IA que introduce cada usuario se guardan cifradas.
• Los documentos, evidencias y copias firmadas se guardan cifrados en el servidor (AES-256-GCM, con una clave propia de la aplicación) y solo se descifran al mostrarlos o descargarlos a quien tiene acceso. Este cifrado protege los archivos frente a un acceso al servidor por fuera de la plataforma; no sustituye al control de acceso.

5. Copias de seguridad

• La plataforma hace copias de seguridad automáticas de su base de datos y las renueva periódicamente. Esas copias no incluyen los archivos de las auditorías (documentos, evidencias, firmas): su copia corresponde a la infraestructura del servidor.
• Las copias de la base de datos se cifran; si el cifrado no es posible, la copia no se crea y se avisa al Administrador de la plataforma.
• Antes de restaurar una copia, el servidor guarda la base de datos actual, cifrada igual que las copias; si no puede hacerlo, no restaura.

6. En el navegador

• Política de seguridad de contenidos estricta: el navegador solo ejecuta el código de la propia plataforma, sin scripts incrustados ni de otros sitios, y la plataforma no puede mostrarse dentro de páginas ajenas.
• Sin recursos de terceros: tipografías y gráficos se sirven desde este mismo servidor, de modo que su navegador no comunica su dirección IP a otras empresas. Sin cookies de seguimiento ni analítica.

7. Archivos

• Solo se admiten documentos PDF, Word y Excel e imágenes PNG y JPG, de hasta 20 MB; el servidor comprueba que el contenido corresponde a la extensión. Cada archivo recibe su propio nombre interno, sin usar el nombre original como ruta.

8. Inteligencia artificial

• El asistente de IA es opcional y funciona con la clave personal de cada usuario; sus respuestas son propuestas que revisa una persona.
• Antes de cada consulta se eliminan los campos con datos personales y se sustituyen por marcadores los nombres de personas, el nombre de la organización, direcciones, NIF/DNI, emails, teléfonos y códigos de auditoría que la plataforma reconoce. Estos filtros reducen la información identificativa, pero no garantizan una anonimización completa, sobre todo en textos libres: lo que el usuario escribe directamente en el chat se envía tal cual.
• No incluya en las consultas contraseñas, credenciales, vulnerabilidades explotables ni documentación que su organización no haya autorizado a compartir. Proveedores y transferencias: ver la Política de privacidad.

9. Comunicación de vulnerabilidades

Si cree haber encontrado una vulnerabilidad, comuníquelo al titular de la plataforma (ver el Aviso legal).

Le pedimos que no acceda a datos de otras personas ni los modifique, que no afecte al funcionamiento del servicio y que nos dé un plazo razonable para corregir el problema antes de hacerlo público. Responderemos lo antes posible.

10. Alcance de esta información

Esta página describe las medidas técnicas activas en la plataforma. No es un informe de auditoría independiente, no garantiza la ausencia de vulnerabilidades y no es una declaración ni una certificación de conformidad con el ENS. La seguridad del servicio depende también de la infraestructura del servidor y de los procedimientos del titular; los detalles se facilitan a las organizaciones cliente por los cauces contractuales.

Más información

El tratamiento de datos personales se describe en la Política de privacidad; los datos del titular, en el Aviso legal.