Política de Seguridad

AGALE aplica un sistema de gestión de seguridad de la información alineado con los controles de ISO/IEC 27001:2022 y los requisitos del artículo 32 del RGPD.

1. Gobernanza

• Responsable de seguridad: Antonio Galera Ferre (titular del servicio).
• Revisión anual del análisis de riesgos y del catálogo de medidas.
• Registro de incidentes y de actividades de tratamiento mantenido internamente.

2. Control de accesos

• Autenticación de usuarios mediante correo y contraseña con almacenamiento hash bcrypt gestionado por Supabase Auth.
• Política de contraseñas de mínimo 8 caracteres; recomendación de gestor de contraseñas.
• Roles diferenciados (administrador, cliente, auditor) y principio de mínimo privilegio.
• Validación administrativa de cuentas nuevas antes de conceder acceso operativo.
• Sesiones JWT firmadas, renovación automática y revocación al cerrar sesión.

3. Segregación multiempresa

La Plataforma es multi-tenant. La segregación se garantiza a nivel de base de datos mediante políticas de Row-Level Security (RLS) de PostgreSQL: cada empresa sólo accede a sus propios datos. Las funciones críticas se ejecutan con `SECURITY DEFINER` y `search_path` controlado.

4. Cifrado

• En tránsito: TLS 1.2/1.3 obligatorio en todas las comunicaciones cliente-servidor y servidor-servidor.
• En reposo: cifrado de disco AES-256 proporcionado por Supabase y Cloudflare.
• Almacenamiento de objetos: buckets privados con URLs firmadas y caducidad corta.

5. Copias de seguridad

• Backups automáticos diarios de la base de datos con retención conforme al plan del proveedor.
• Pruebas periódicas de restauración.

6. Trazabilidad y auditoría

• Registro de cambios en tareas, hallazgos y CAPA mediante triggers (`task_history`).
• Registro de validaciones administrativas con IP y user-agent (`profile_validation_log`).
• Trazabilidad de consentimientos (`user_consents`, `cookie_consents`).

7. Gestión de incidentes

Procedimiento de respuesta:

1. Detección y registro del incidente.

2. Contención inmediata.

3. Evaluación del riesgo para los interesados.

4. Notificación a clientes afectados en un máximo de 48 horas.

5. Notificación a la AEPD en un máximo de 72 horas cuando proceda (art. 33 RGPD).

6. Análisis post-incidente y medidas correctivas.

8. Proveedores

Selección de proveedores con certificaciones reconocidas (ISO 27001, SOC 2 Tipo II o equivalente). Lista publicada en la Política de Privacidad y en el DPA.

9. Desarrollo seguro

• Control de versiones, revisión de código y despliegues controlados.
• Gestión de dependencias y aplicación oportuna de parches.
• Pruebas de regresión y validación de entradas con esquemas tipados.

10. Concienciación

El personal con acceso a datos personales recibe formación periódica en protección de datos y seguridad de la información.

11. Contacto

Para reportar vulnerabilidades o incidentes de seguridad: info@agale.es. Solicitamos divulgación responsable, agradeciendo un plazo razonable para mitigar antes de cualquier publicación.