Seguridad
Cómo aislamos los datos de cada empresa
En una plataforma multiempresa la pregunta importante no es si hay cifrado: es qué impide que una consulta mal escrita devuelva los datos de otro cliente.
El aislamiento va en dos capas
- La aplicación filtra
- Cada petición lleva la empresa activa y todos los endpoints filtran por ella. Es la capa que se ve, y es también la que puede fallar si alguien escribe una consulta sin el filtro.
- La base de datos lo impide
- Debajo hay políticas de Row-Level Security de PostgreSQL. En cada petición la conexión baja a un rol sin privilegios especiales, así que aunque la consulta anterior olvidara el filtro, el motor no devuelve filas de otra empresa.
Cuentas y acceso
- Contraseñas con Argon2
- Algoritmo de hash recomendado hoy para contraseñas. No se guardan en claro ni de forma reversible.
- Sesiones con expiración
- Token de acceso corto y refresco en cookie httpOnly. El refresco se puede revocar sin tocar el resto.
- Permisos granulares
- Siete permisos independientes por miembro. Quien prepara ofertas no tiene por qué poder cambiar la suscripción.
- Verificación de correo
- El alta exige confirmar la dirección, y hay límite de intentos por IP contra la fuerza bruta.
- Cifrado en tránsito
- HTTPS obligatorio con HSTS. Cabeceras de seguridad en el servidor web.
- Sin pagos en nuestros servidores
- La facturación va con Stripe: los datos de tarjeta no pasan por nuestra infraestructura.
Datos personales y RGPD
El responsable del tratamiento es ATOMTECH CONSULTING SL, NIF B27646694. Los datos que tratamos son los de la cuenta (nombre, correo y contraseña, que se guarda con hash) y los de tu empresa.
Las licitaciones y subvenciones no son datos personales: son información pública de contratación. Los nombres de empresas adjudicatarias que aparecen en el radar de mercado proceden de publicaciones oficiales.
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiéndonos. El detalle está en la política de privacidad.
Lo que todavía no tenemos
No estamos certificados en el Esquema Nacional de Seguridad ni en ISO 27001. No hacemos auditorías externas periódicas ni tenemos un programa de recompensas por vulnerabilidades. Si tu organización exige alguna de esas cosas, hoy no cumplimos ese requisito, y preferimos que lo sepas aquí.
Preguntas sobre seguridad
¿Dónde están alojados los datos?
En servidores dentro de la Unión Europea. No hay transferencias internacionales de datos personales fuera del Espacio Económico Europeo para la operativa del servicio.
¿Qué se envía al proveedor de inteligencia artificial?
El texto de los pliegos que se analizan, que son documentos públicos descargables por cualquiera desde la Plataforma de Contratación. No se envían tus datos de empresa, ni tus notas, ni los documentos de tu base de conocimiento salvo que uses expresamente una función que los necesite.
¿Entrenáis modelos con nuestros datos?
No. Ni nosotros ni el proveedor de IA a través de la API que usamos. Tus documentos no alimentan ningún modelo compartido.
¿Tenéis certificación ENS o ISO 27001?
No, y no vamos a decir que estamos «alineados con el ENS» para dar a entender otra cosa. Si tu organización exige certificación acreditada, hoy no cumplimos ese requisito.
¿Puedo alojarlo en mi propia infraestructura?
El producto se despliega con Docker Compose y técnicamente puede ejecutarse en un servidor tuyo. No es una modalidad que tengamos empaquetada ni con precio publicado: si te hace falta, hablamos.
¿Cómo reporto un fallo de seguridad?
Escribiendo a soporte@licita-pro.es con el asunto «seguridad». Respondemos y, si el fallo es real, lo corregimos antes de publicar nada al respecto.
¿Te queda alguna duda de seguridad?
Escríbenos a info@atomtech.es y te la resolvemos.