Información legal
Seguridad
Última actualización: 11 de enero de 2026
1. Nuestro Compromiso con la Seguridad
En Olearia, la seguridad de tus datos y la continuidad del servicio son prioridades absolutas. Implementamos medidas de seguridad técnicas y organizativas de nivel enterprise, basadas en las mejores prácticas internacionales (ISO/IEC 27001, NIST Cybersecurity Framework, OWASP Top 10) y conforme a los requisitos del RGPD (Art. 32).
Esta página describe en detalle nuestras medidas de seguridad para que puedas evaluar cómo protegemos tus datos.
Última actualización: 11 de Enero de 2026
Basado en: RGPD Art. 32, ISO/IEC 27001:2022, NIST CSF 2.0, OWASP Top 10 (2021)
2. Arquitectura de Seguridad
Nuestra infraestructura sigue el principio de defensa en profundidad (defense in depth), con múltiples capas de protección:
Capa de Red
- Firewall de aplicación (WAF) activo
- Protección DDoS multi-capa
- TLS última versión obligatorio
- HSTS (HTTP Strict Transport Security)
Capa de Aplicación
- Rate limiting adaptativo por IP y usuario
- Protección CSRF multi-capa con tokens seguros
- Prevención XSS con políticas estrictas de contenido
- Protección SQL injection con queries parametrizadas
Capa de Datos
- Cifrado AES-256 en reposo (at-rest)
- Contraseñas hasheadas con algoritmos adaptativos
- Tokens con expiración corta y rotación automática
- Backups cifrados diarios (UE)
3. Seguridad de Autenticación y Acceso
3.1 Sistema de Autenticación
Tecnología: Tokens seguros con rotación automática
- Access Token: Expiración corta para minimizar ventana de exposición
- Refresh Token: Rotación automática periódica
- Algoritmo: HMAC con claves criptográficamente seguras
- HTTP-Only Cookies: Los tokens se almacenan en cookies seguras no accesibles desde JavaScript
- SameSite=Strict: Protección contra CSRF cross-site
3.2 Gestión de Contraseñas
Hashing: Algoritmos adaptativos conforme a OWASP
- Work Factor: Configurado según mejores prácticas de seguridad actuales
- Salting: Salt único criptográficamente seguro por contraseña
- Longitud mínima: 10 caracteres obligatorios
- Almacenamiento: Nunca en texto plano bajo ninguna circunstancia
- Resistencia: Protección contra ataques de fuerza bruta y rainbow tables
Referencia: OWASP Password Storage Cheat Sheet
3.3 Autenticación Multifactor (2FA)
Estado: Implementación en roadmap Q1 2026
- TOTP (Time-based One-Time Password) compatible con Google Authenticator, Authy
- Códigos de recuperación para backup
- Obligatorio para cuentas Business y Enterprise
3.4 Control de Acceso (RBAC)
Implementamos Role-Based Access Control con los siguientes roles:
Acceso limitado, 5 años datos, 4 regiones
10 años datos, 10 regiones, alertas básicas
20 años datos, 28 regiones, API access
25 años datos, soporte prioritario, SLA 99.5%
4. Cifrado y Protección de Datos
4.1 Cifrado en Tránsito (In-Transit)
Protocolo: TLS última versión con cifrado robusto
- Cipher suites: Solo algoritmos seguros y modernos (AES-GCM, ChaCha20-Poly1305)
- Certificado SSL: Renovación automática con validación continua
- HSTS habilitado con configuración estricta y preload
- Conexiones HTTP automáticamente redirigidas a HTTPS
4.2 Cifrado en Reposo (At-Rest)
Algoritmo: AES-256 (Advanced Encryption Standard) en modo GCM
- Base de datos: Enterprise-grade con cifrado de disco completo (FDE)
- Backups: Cifrados con AES-256 antes de almacenamiento en infraestructura segura UE
- Logs: Cifrados y con rotación automática periódica
- Archivos estáticos: Uploads cifrados con claves únicas por usuario
4.3 Gestión de Claves Criptográficas
Seguimos las mejores prácticas de key management conforme a NIST SP 800-57:
- Rotación periódica: Claves secretas rotadas cada 90 días
- Separación de entornos: Claves distintas para producción, staging, desarrollo
- Almacenamiento seguro: Variables de entorno cifradas, NO en código fuente
- Acceso restringido: Solo administradores senior con necesidad legítima
- Auditoría: Logs de acceso a claves secretas (acceso restringido)
5. Protección contra Amenazas Web (OWASP Top 10)
Implementamos contramedidas específicas para el OWASP Top 10 2021:
✓ RBAC implementado, validación server-side obligatoria, tokens JWT verificados en cada request
✓ TLS 1.3 obligatorio, AES-256 at-rest, bcrypt para contraseñas, NO se almacenan datos sensibles sin cifrar
✓ ORM moderno con queries parametrizadas, validación estricta de inputs, sanitización de datos
✓ Threat modeling realizado, principio de menor privilegio, rate limiting por defecto
✓ Headers de seguridad habilitados (CSP, X-Frame-Options, X-Content-Type-Options), debug mode deshabilitado en producción
✓ Dependencias actualizadas mensualmente, Dependabot/Renovate bot activos, escaneo de vulnerabilidades (npm audit, pip-audit)
✓ Contraseñas seguras obligatorias, rate limiting en login (5 intentos/min), tokens con expiración corta
✓ Verificación de integridad de paquetes (checksums), pipelines CI/CD con code signing, NO se ejecuta código no verificado
✓ Logs centralizados (syslog), alertas automáticas para eventos críticos, retención 2 años (Art. 12.3 LSSI)
✓ Validación de URLs externas, whitelist de dominios permitidos, NO se aceptan URLs internas (localhost, 127.0.0.1)
6. Continuidad del Negocio y Recuperación ante Desastres
6.1 Política de Backups
- Frecuencia: Backups automáticos diarios
- Retención: 30 días backups diarios, 12 meses backups mensuales
- Ubicación: Servidores redundantes en múltiples centros de datos UE
- Cifrado: AES-256 antes de almacenamiento, claves separadas
- Pruebas: Restauración de backup testeada trimestralmente
- RTO (Recovery Time Objective): Menos de 4 horas
- RPO (Recovery Point Objective): Menos de 24 horas
6.2 Alta Disponibilidad
Arquitectura diseñada para minimizar downtime:
SLA 99% uptime (~7h downtime/mes)
Best-effort recovery
SLA 99.5% uptime (~3.6h downtime/mes)
Soporte prioritario 24/7
SLA 99.9% uptime (~43min downtime/mes)
Infraestructura dedicada
6.3 Plan de Respuesta a Incidentes
Protocolo estructurado conforme a NIST SP 800-61:
- Detección y Análisis: Monitorización 24/7, alertas automáticas para anomalías
- Contención: Aislamiento de sistemas comprometidos en <30 minutos
- Erradicación: Eliminación de la causa raíz (malware, exploit, acceso no autorizado)
- Recuperación: Restauración desde backups limpios, validación de integridad
- Post-Incident: Análisis forense, documentación, mejoras de seguridad
- Notificación: Conforme a Art. 33 RGPD (72h a AEPD si afecta datos personales)
7. Cumplimiento Normativo
Cumplimos con las siguientes normativas y estándares:
RGPD (UE 2016/679)
Pleno cumplimiento del Reglamento General de Protección de Datos, incluyendo:
- Art. 32: Seguridad del tratamiento (cifrado, pseudonimización)
- Art. 33-34: Notificación de violaciones de seguridad
- Art. 35: Evaluación de impacto (DPIA para tratamientos de alto riesgo)
LOPDGDD (España)
Ley Orgánica 3/2018 de Protección de Datos y Garantía de Derechos Digitales:
- Art. 28: Sistemas de información crediticia
- Art. 87: Protección de datos desde el diseño (privacy by design)
LSSI-CE (Ley 34/2002)
Ley de Servicios de la Sociedad de la Información:
- Art. 22.2: Consentimiento de cookies
- Art. 12.3: Retención de logs 2 años
ISO/IEC 27001 (Inspirado)
Seguimos las mejores prácticas del estándar internacional de gestión de seguridad:
- Gestión de riesgos de seguridad de la información
- Controles de acceso lógico y físico
- Revisiones de seguridad internas periódicas
8. Auditorías y Certificaciones
Sometemos nuestra infraestructura a revisiones periódicas:
- Auditorías internas: Revisión trimestral de logs de seguridad, configuraciones, accesos
- Penetration testing: Pruebas de penetración anuales por terceros especializados (roadmap 2026)
- Vulnerability scanning: Escaneo automatizado semanal con OWASP ZAP / Burp Suite
- Code review: Revisión de código de seguridad antes de cada deploy a producción
- Dependency audit: Escaneo de vulnerabilidades en dependencias (npm audit, pip-audit, Snyk)
9. Formación y Concienciación
El equipo de Olearia recibe formación continua en seguridad:
- Onboarding: Formación obligatoria en seguridad para nuevos miembros del equipo
- Actualizaciones: Sesiones trimestrales sobre nuevas amenazas y mejores prácticas
- Simulacros: Ejercicios de phishing y respuesta a incidentes (roadmap 2026)
- Certificaciones: Incentivos para obtener CISSP, CEH, OSCP (roadmap 2026)
10. Reporte de Vulnerabilidades (Responsible Disclosure)
Si descubres una vulnerabilidad de seguridad en Olearia, te pedimos que nos la comuniques de forma responsable.
Protocolo de Reporte
- Envía un email a [email protected] con:
- Descripción detallada de la vulnerabilidad
- Pasos para reproducirla (PoC)
- Impacto potencial (severidad estimada: Critical/High/Medium/Low)
- Acusaremos recibo en 24 horas
- Investigaremos y validaremos el reporte en 7 días
- Desarrollaremos y desplegaremos un fix en 30 días (Critical: 7 días)
- Te notificaremos cuando el fix esté desplegado
Hall of Fame: Reconoceremos públicamente a investigadores de seguridad responsables (con tu permiso).
Reglas de Responsible Disclosure
- ✓ NO divulgues públicamente la vulnerabilidad hasta que hayamos desplegado un fix
- ✓ NO explotes la vulnerabilidad más allá de lo necesario para demostrar el PoC
- ✓ NO accedas, modifiques o elimines datos de usuarios que no sean tuyos
- ✓ NO realices ataques de denegación de servicio (DoS/DDoS)
- ✓ Actúa de buena fe y respetando la privacidad de otros usuarios
11. Transparencia y Actualizaciones
Nos comprometemos a mantener esta página de seguridad actualizada con:
- Cambios en infraestructura: Notificaremos cambios significativos de seguridad
- Incidentes de seguridad: Publicaremos post-mortems de incidentes relevantes (sin datos sensibles)
- Mejoras continuas: Actualizaremos esta página cuando implementemos nuevas medidas
Para consultas específicas sobre seguridad, contacta: [email protected]
12. Preguntas Frecuentes sobre Seguridad
¿Dónde se almacenan mis datos?
Todos los datos se almacenan en servidores dentro de la Unión Europea (Frankfurt, Helsinki). Todos los datos se procesan dentro de la UE. Los pagos se gestionan a través de Redsys (BBVA TPV Virtual), que opera íntegramente en la UE.
¿Puedo confiar en la seguridad de mis contraseñas?
Sí. Usamos bcrypt con cost 12, el estándar recomendado por OWASP. Tu contraseña NUNCA se almacena en texto plano. Incluso nosotros no podemos ver tu contraseña original (solo el hash).
¿Qué sucede si hay una brecha de seguridad?
Seguimos el protocolo RGPD Art. 33-34: notificaremos a la AEPD en 72h y a usuarios afectados sin dilación indebida. Publicaremos un post-mortem transparente con medidas correctivas implementadas.
¿Quién tiene acceso a mis datos?
Solo personal autorizado con necesidad legítima (principio de menor privilegio). Los accesos a datos sensibles se registran en logs de auditoría. NO vendemos ni compartimos tus datos con terceros para marketing.
Contacto de Seguridad
Empresa: AIXA Inteligencia Artificial S.L. (NIF: B22487086)
Dirección: Centro BREAKER UGR, Av. de Madrid, 11, 18012 Granada, España
Teléfono: +34 636 637 481
Security Team: [email protected]
Contacto de privacidad: [email protected]
General: [email protected]
Referencias y Estándares:
¿Tienes preguntas? Contacta con nosotros en [email protected]