Seguridad
Seguridad por diseño
Somos una empresa joven y ágil. En lugar de gastar primero en auditores, nuestros recursos van directamente a la seguridad técnica. Nuestras medidas se orientan por ISO 27001 y el BSI IT-Grundschutz, y las documentamos aquí abiertamente para que puedas comprobarlas.
Sin insignias de certificación: una lista clara de lo que realmente hacemos, para que la compares con tus requisitos. Esas mismas medidas forman parte de nuestro contrato de encargo de tratamiento, donde son un compromiso contractual contigo.
Identidad y acceso
- Autenticación de dos factores (TOTP) con códigos de recuperación para cada cuenta
- Inicio de sesión con Google o Apple, o correo + contraseña con hash bcrypt
- Sesiones en cookies HttpOnly, Secure y SameSite; se te avisa de cada inicio de sesión nuevo
- Roles (propietario, admin, editor, lector) para que nadie tenga más permisos de los que necesita
Mínimo privilegio
- Las claves API solo alcanzan los espacios que elijas, pueden caducar, se muestran una vez y se guardan con hash
- Los servicios se ejecutan como usuarios sin privilegios en contenedores separados; el renderizador habla con la app solo mediante un secreto compartido
- Se accede a la base de datos con un rol restringido; la seguridad a nivel de fila de Postgres bloquea lecturas entre cuentas incluso si la aplicación tuviera un error
- Cada acción administrativa queda en el registro de auditoría
Protección y aislamiento de datos
- Alojado en la UE (Hetzner, Núremberg); DPA con medidas técnicas y organizativas incluidas
- Los secretos almacenados (claves de firma de webhooks, credenciales de registro y copia de seguridad, secretos 2FA, contraseñas de plantillas) van cifrados con AES-256-GCM
- Los documentos son privados; las descargas usan enlaces firmados de corta duración
- Tú controlas la retención y puedes exportar o borrar todo; los borrados tienen un periodo de gracia
- Los documentos y la base de datos se ejecutan en servidores de Hetzner en Alemania; las copias de seguridad diarias de la base de datos van al almacenamiento de objetos de Hetzner en la UE, se conservan 30 días y están separadas de los datos de la aplicación
Integridad de los documentos
- Cada documento de firma electrónica completado se bloquea contra ediciones, se sella con un certificado digital y recibe una huella SHA-256
- Los firmantes confirman una declaración de consentimiento; el registro de auditoría está encadenado con hashes para que nada cambie sin notarse
- Cualquiera que tenga un PDF puede verificarlo en nuestra página pública de verificación, sin subirlo Abrir la página de verificación →
- Los webhooks van firmados (HMAC-SHA256) y se reintentan automáticamente
Resiliencia y protección contra abusos
- Límites de peticiones por plan y registro limitado
- Límites estrictos de tamaño y páginas; el renderizador corre aislado con tiempos límite, así que un documento defectuoso nunca tumba el servicio
- Las descargas salientes (imágenes de plantillas) se limitan a hosts permitidos: sin SSRF
- Monitorización de errores y copias de seguridad diarias con copias externas
- Una Content Security Policy estricta: sin scripts inline, sin eval en las páginas públicas, scripts solo desde nuestro propio origen y servicios autorizados
- Respuesta a incidentes: los avisos se revisan en un día laborable; los clientes afectados son notificados en 48 horas tras una brecha confirmada, como establece nuestro DPA
Estándares con los que nos alineamos
- Medidas de seguridad orientadas por ISO 27001 y BSI IT-Grundschutz, recogidas en nuestro contrato de encargo de tratamiento como compromiso contractual
- Criptografía según la guía técnica BSI TR-02102: AES-256-GCM, SHA-256, sellos RSA-3072, TLS 1.2 o superior
- Estado de la técnica tal como exige el art. 32 del RGPD
- Firmas electrónicas simples según eIDAS: decimos claramente lo que son y lo que no
Lo que no afirmamos
Todavía no estamos certificados en ISO 27001 ni SOC 2, y no afirmamos lo contrario. Hasta entonces publicamos aquí nuestras medidas y actualizamos esta página cuando cambian.
Divulgación responsable
¿Has encontrado una vulnerabilidad? Escríbenos: leemos cada informe y no emprendemos acciones legales contra la investigación de buena fe. Nuestro security.txt apunta a la misma dirección. [email protected]
¿Necesitas más detalle?
Nuestro contrato de encargo de tratamiento recoge las medidas técnicas y organizativas como compromiso contractual, y el equipo de seguridad responde a las preguntas directamente.