Política de seguridad

Esta política describe las medidas técnicas y organizativas de seguridad aplicadas por AMBASSADIA SARL en la plataforma TranscribIA (client.transcribia.eu). Se enmarca en el RGPD (artículo 32: seguridad del tratamiento) y las medidas esenciales previstas por la Directiva NIS 2. Está dirigida prioritariamente a los responsables de seguridad, TI y protección de datos de las organizaciones cliente en sus revisiones de autorización y análisis de riesgos.

El detalle operativo — registro de actividades de tratamiento, esquemas de arquitectura, DPA y procedimientos — puede consultarse en el expediente público de cumplimiento.

1. Gobernanza de la seguridad

• Responsable de seguridad designado en AMBASSADIA SARL, punto único de contacto para consultas de seguridad y coordinación de incidentes.
• La dirección del editor asume la responsabilidad editorial de esta política; se revisa como mínimo anualmente y tras cada cambio sustancial de su ámbito.
• Marco de referencia: RGPD (art. 32), medidas esenciales NIS 2, enfoque basado en riesgos.
• Transparencia sobre certificaciones: actualmente no se dispone de certificación ISO 27001 ni SOC 2. Hay una auditoría de seguridad independiente prevista para 2026 ; el proceso de certificación se ha iniciado, pero aún no se ha completado.

2. Gestión de identidades y accesos (IAM)

• API y tokens: autenticación mediante Laravel Sanctum, tokens Bearer personales con hash SHA-256, de duración limitada y revocables en cualquier momento.
• Contraseñas: almacenamiento mediante bcrypt (factor de coste 12), política de complejidad y comprobación frente a listas de credenciales comprometidas conocidas.
• Autenticación de dos factores (2FA): TOTP conforme a la RFC 6238, obligatoria para cuentas de administración; los secretos 2FA se cifran en reposo con AES-256-CBC.
• Control de acceso basado en roles (RBAC): 5 niveles de privilegios, desde lector hasta administrador de la organización, aplicando el principio de mínimo privilegio.
• Autenticación reforzada «step-up»: se exige confirmar la contraseña para cualquier acción destructiva o sensible (supresión de una organización, cambio de roles y exportación completa de datos).
• Prevención de abusos: limitación de solicitudes en la aplicación Laravel en los endpoints de autenticación y API; caducidad de sesiones.

3. Cifrado

• En tránsito: TLS 1.2 como mínimo (preferentemente TLS 1.3), certificados Let's Encrypt gestionados mediante Nginx Proxy Manager con renovación automática y HSTS.
• En reposo: cifrado de volúmenes y base PostgreSQL, cifrado de archivos cargados.
• Secretos de la aplicación: aislamiento de variables de entorno; secretos 2FA cifrados AES-256-CBC.
• Copias de seguridad: cifradas con age (intercambio de claves X25519, cifrado ChaCha20-Poly1305).

4. Protección de datos y aislamiento multiinquilino

• Aislamiento lógico estricto: un esquema PostgreSQL distinto por organización (modelo schema-per-tenant); ninguna consulta cruza el límite de una organización.
• Política de conservación configurable por organización, conforme a las finalidades declaradas.
• Derecho de supresión: procedimiento documentado y trazable de supresión de una organización (véase Soberanía y RGPD).
• Sin transferencias de datos fuera de la UE por defecto.

5. Registro y auditoría

• Pista de auditoría doble : registros de actividad de cada organización (activity_logs) y registro centralizado (public.audit_logs).
• Registro de todas las acciones sensibles: autenticaciones, cambios de roles, exportaciones, supresiones y accesos de administrador.
• Registros depurados : los registros del servidor no contienen datos personales nominativos ni contenido profesional.
• Conservación de registros adaptada a las necesidades de investigación tras incidentes.

6. Protección contra malware

• Análisis antivirus de los archivos cargados mediante ClamAV 1.4, base de firmas actualizada mediante freshclam.
• Los archivos detectados como infectados se bloquean y ponen en cuarentena.
• Comportamiento si el motor no está disponible: por diseño, el servicio pasa a un modo fail-open registrado : se admite el archivo para no bloquear el servicio, pero se registra el evento y se vuelve a analizar el archivo cuando regresa el motor. Esta decisión de disponibilidad está asumida y documentada.

7. Gestión de vulnerabilidades y refuerzo de seguridad

• Supervisión continua de dependencias (composer/npm audit) y aplicación de parches de seguridad.
• Refuerzo de la aplicación: CSP (Content Security Policy), CORS estricto, cabeceras de seguridad y principio de mínimo privilegio.
• Auditoría de seguridad independiente prevista para 2026 (incluye pruebas de intrusión en el ámbito del proceso).
• Proceso de divulgación responsable: comunique cualquier vulnerabilidad a contact@transcribia.eu.

8. Gestión de incidentes de seguridad

• Detección: vigilancia automatizada continua (24/7) con notificaciones por Slack y correo electrónico sobre anomalías y eventos de seguridad.
• Evaluación y respuesta: a cargo del responsable de seguridad, según el ciclo contención → erradicación → recuperación → aprendizaje.
• Como encargado del tratamiento, TranscribIA informa al responsable del tratamiento sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales. El responsable del tratamiento notifica la violación a la autoridad de control competente en las condiciones del artículo 33 del RGPD, de ser posible en las 72 horas siguientes a que haya tenido conocimiento de ella, salvo que sea improbable que la violación entrañe un riesgo para los derechos y libertades de las personas.
• Notificación a los interesados cuando exista alto riesgo (art. 34 del RGPD).
• Coordinación transparente con la organización cliente, responsable del tratamiento, durante todo el incidente.

9. Continuidad de la actividad y copias de seguridad

• Copias de seguridad cifradas (age) replicadas a un destino de la UE mediante rclone.
• Objetivos alcanzados: RPO 24 h / RTO 4 h.
• Simulacro de recuperación validado : se ha realizado un ejercicio de restauración para verificar la eficacia del plan de recuperación.
• Plan de continuidad y recuperación documentado y mantenido.

10. Cadena de suministro y subencargados

Subencargados establecidos en la Unión Europea exclusivamente, con acuerdo de encargo del tratamiento (DPA, art. 28 del RGPD) vigente. Sin subencargados fuera de la UE por defecto.

La lista nominal de subencargados y su ámbito exacto figuran en el expediente público de cumplimiento y el modelo de DPA descargable.

11. SaaS e instalación local — modelo de responsabilidad

TranscribIA está disponible en modo SaaS soberano (alojado en Francia) o instalación local (en la infraestructura del cliente). La responsabilidad de las medidas de seguridad se reparte de forma distinta según el modo:

En instalación local, AMBASSADIA proporciona la aplicación y una guía de refuerzo y sigue garantizando la seguridad de la aplicación; el cliente asume la seguridad de la infraestructura de alojamiento según su propia política de seguridad.