Medidas de seguridad

Estas son las medidas técnicas y organizativas con las que Samanoba, S.L. protege los datos del Servicio (art. 32 RGPD). Forman parte del Contrato de Encargado de Tratamiento (DPA). Describimos sólo lo que está en funcionamiento.

1. Dónde están los datos

• La base de datos está en la Unión Europea (Estocolmo, Suecia), y el servidor de la aplicación se ejecuta en la misma región.
• Los proveedores que intervienen y dónde tratan los datos figuran en la lista de encargados.

2. Cifrado

• Todas las comunicaciones van cifradas (HTTPS).
• Los datos se guardan cifrados en el almacenamiento del proveedor de base de datos.
• Las contraseñas no se guardan: sólo una huella cifrada que no permite recuperarlas.

3. Separación entre clientes y control de acceso

• Cada cliente tiene su cuenta separada. La base de datos sólo deja leer a cada usuario lo que pertenece a su cuenta, y ninguna escritura se hace desde el navegador o el móvil: todas pasan por el servidor, que comprueba antes quién es el usuario y qué puede hacer.
• Dentro de cada cuenta, el cliente decide qué puede ver y hacer cada persona (titular, encargados y empleados, con permisos por función).
• Los intentos repetidos de acceso u otras acciones sensibles se limitan automáticamente.
• En Aunte, sólo el personal que lo necesita para prestar el Servicio tiene acceso a los sistemas de producción, y está sujeto a deber de confidencialidad.

4. Trazabilidad

• Las acciones relevantes sobre datos de personas (altas, cambios, borrados y correcciones del registro de jornada) quedan anotadas con quién y cuándo.
• Los errores de la aplicación se registran sin nombre, correo ni dirección IP de la persona.

5. Desarrollo seguro

• Todo cambio pasa por comprobaciones automáticas antes de llegar a producción, y por la aprobación manual de quien decide publicarlo.
• De forma automática y periódica se buscan claves o contraseñas que hayan podido quedar en el código.
• El sitio envía las cabeceras de seguridad habituales del navegador (política de contenido, conexión segura obligatoria, protección frente a inserción en otras webs).

6. Conservación y borrado

Los datos se borran o anonimizan automáticamente cuando vence su plazo, como describe la Política de privacidad: por ejemplo, los datos de los comensales de una reserva a los 90 días, y los de un empleado dado de baja a los 4 años de su último registro de jornada.

7. Incidentes

Si se produce una brecha de seguridad que afecte a datos personales, avisaremos al cliente como indica el DPA (§7) y, cuando actuemos como responsables, a la Agencia Española de Protección de Datos en el plazo del art. 33 RGPD.

Si encuentras una vulnerabilidad, escríbenos a dpo@aunte.es. Te responderemos y trataremos tu aviso con confidencialidad.