Política de seguridad de la información

1. Alcance

Esta política describe los principios y controles de seguridad de la información que aplica José Ramón Santos Crespo tanto a este sitio web como a la plataforma Almenara. Cubre la información que tratamos por cuenta de clientes y proveedores, la infraestructura que la soporta, y el personal con acceso a ella.

2. Principios (CIA)

Nos guiamos por los tres principios clásicos de seguridad de la información:

• Confidencialidad: la información solo es accesible para quien tiene autorización explícita para verla.
• Integridad: la información no se altera de forma no autorizada ni accidental, y cualquier cambio queda trazado.
• Disponibilidad: la información y el servicio están accesibles cuando se necesitan, dentro de los compromisos de nivel de servicio aplicables.

3. Gestión de accesos

El acceso a sistemas e información se concede según el principio de mínimo privilegio: cada persona o sistema tiene solo el acceso necesario para su función, no más. Los accesos se revisan periódicamente y se revocan de inmediato al finalizar la relación laboral o contractual. El acceso a sistemas de producción requiere autenticación reforzada.

4. Cifrado

Toda comunicación con el sitio y con la plataforma viaja cifrada (TLS) en tránsito. Los datos en reposo se almacenan cifrados en la infraestructura del proveedor de hosting. Las claves de cifrado se gestionan de forma separada de los datos que protegen.

5. Gestión de vulnerabilidades y parches

Las dependencias de software se revisan de forma continua en busca de vulnerabilidades conocidas, con actualización prioritaria de las de severidad alta o crítica. Los parches de seguridad de la infraestructura se aplican dentro de un plazo acorde a su severidad, priorizando siempre la disponibilidad del servicio.

6. Respuesta a incidentes y notificación de brechas

Contamos con un procedimiento documentado de respuesta a incidentes de seguridad: detección, contención, análisis, resolución y revisión posterior. En caso de brecha de seguridad que afecte a datos personales, se notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas desde que se tenga conocimiento, según exige el RGPD, y a las personas afectadas cuando el riesgo para sus derechos y libertades lo requiera.

7. Continuidad

Se realizan copias de seguridad periódicas de la información crítica, con pruebas de restauración regulares. Existe un plan de continuidad que cubre los escenarios de indisponibilidad más probables de la infraestructura.

8. Formación

El personal con acceso a datos o sistemas recibe formación periódica en buenas prácticas de seguridad de la información y protección de datos, adaptada a su función.

9. Gestión de proveedores

Los proveedores que tratan información en nuestro nombre (encargados del tratamiento) se seleccionan evaluando sus garantías de seguridad, y se someten a un contrato que recoge sus obligaciones. La lista completa de subencargados está disponible en Subencargados.

10. Revisión periódica

Esta política se revisa al menos una vez al año, y siempre que se produzca un cambio significativo en la infraestructura, el servicio o la normativa aplicable.

11. Contacto

Para reportar una vulnerabilidad o incidente de seguridad, escribe a hola@getalmenara.com. Ver también security.txt para el procedimiento de divulgación responsable.