Cuestionario de seguridad
El cuestionario de vuestro departamento de informática, respondido
Las mismas preguntas llegan en todos los pliegos, así que están contestadas de antemano y por escrito. Donde no hay una respuesta que podamos sostener, está la pregunta y no hay respuesta: preferimos un hueco a un número que no se pueda defender dos años después.
Última revisión: 30 de agosto de 2026
Esta página está maquetada para el papel: se imprime o se guarda en PDF desde el navegador y sale sin menús ni pie.
01Dónde están los datos y quién los opera
¿Dónde se alojan los datos?
En servidores propios situados en la Unión Europea, en un centro de datos de Francia operado por Hostinger International Limited. Las copias de seguridad permanecen en la misma jurisdicción.
¿Hay transferencias internacionales de datos?
No. Ni el alojamiento, ni las copias, ni el soporte, ni las tareas de administración se prestan desde fuera del Espacio Económico Europeo, de modo que no hace falta recurrir a cláusulas contractuales tipo ni a las demás garantías del capítulo V del RGPD.
¿Es una instalación compartida? ¿Cómo se separan los datos de cada empresa?
Es compartida. Toda tabla de contenido lleva el identificador de la empresa y el aislamiento se fuerza en la capa de datos, no en la pantalla: una consulta no puede omitirlo. Hay además una prueba automática que mete una empresa rival en la misma base, con contenido en cada tabla, y comprueba desde la sesión de un empleado que no se llega a nada de la otra. Corre con el resto de la batería, no una vez al año.
¿Se puede instalar en nuestros propios servidores?
Hoy no. El servicio se presta desde nuestros servidores en la Unión Europea.
02Cifrado
¿Van cifradas las comunicaciones?
Sí. El sitio y la plataforma se sirven por HTTPS, y la cookie de sesión viaja marcada como «Secure» y «HttpOnly»: no sale por una conexión sin cifrar y no la puede leer JavaScript. Las páginas no cargan nada de terceros —ni tipografías, ni iconos, ni scripts— así que abrirlas no provoca ni una petición fuera. El correo saliente va por TLS en el puerto 465 o por STARTTLS en el 587, según la configuración del buzón.
¿Qué se guarda de forma que no sirva aunque alguien se lleve una copia de la base de datos?
Las contraseñas no se guardan: se guarda un derivado obtenido con scrypt y una sal distinta por usuario. Del identificador de sesión solo vive su hash, así que un volcado de la tabla no permite suplantar a nadie. Del token de SCIM, lo mismo: se enseña una vez al crearlo y en la base queda solo el hash. El secreto de cliente del inicio de sesión único sí hay que poder volver a leerlo —se le envía al proveedor de identidad en cada canje— y por eso va cifrado con AES-256-GCM, con la clave derivada por HKDF y una etiqueta propia.
¿Está cifrado el disco donde vive la base de datos?
Lo que sí está comprobado: la base de datos no está expuesta a internet y solo es accesible desde el propio servidor. Los archivos subidos se guardan en el disco, en una carpeta por empresa, y no son accesibles por dirección directa: cada descarga vuelve a comprobar la sesión y la pertenencia a la empresa.
Sin respuesta escrita
El cifrado del volumen es una medida de la máquina y no de la aplicación, así que no se afirma aquí. Pedidlo y os confirmamos por escrito qué hay configurado en el servidor.
03Copias de seguridad
¿Se hacen copias de seguridad y dónde se guardan?
Sí. Las condiciones del servicio recogen copias periódicas dentro de la Unión Europea, en la misma jurisdicción que los datos. No sustituyen a las exportaciones que la empresa cliente pueda hacer por su cuenta ni convierten al prestador en depositario de la única copia.
¿Cada cuánto se hacen, cuánto se retienen y se ha probado alguna restauración?
Cada noche, programadas en el propio servidor. El proceso hace dos cosas: un volcado completo de la base de datos con pg_dump, en el formato propio de PostgreSQL y comprimido, y un tar.gz con los ficheros subidos, del que se excluyen las copias derivadas de las imágenes porque se vuelven a generar solas. Se conservan catorce días, se rotan solas y permanecen en la misma jurisdicción que los datos.
Sin respuesta escrita
El procedimiento de restauración y el tiempo que lleva se dan por escrito a petición. Es la parte que depende de la máquina y del volumen de cada día, y aquí no se publica ningún número que no se pueda sostener delante de quien lo compruebe.
04Control de acceso, roles y sesiones
¿Qué roles hay y qué puede hacer cada uno?
Seis: propietario, administración, gestor de personas, informático, edición y empleado. Publicar sin pasar por aprobación pueden el propietario, la administración y la edición. En las pantallas de administración entra cada uno en lo suyo: quien gestiona personas da de alta y de baja pero no ve la facturación ni el inicio de sesión único, y quien lleva informática configura el SSO, las claves de API y las pantallas de planta pero no gestiona la plantilla. Y nadie puede repartir un papel con más permisos que el suyo. Las salvaguardas se comprueban en el servidor dentro de cada acción y no escondiendo el botón: una acción de servidor responde aunque el botón no se haya pintado nunca.
¿Cómo se protegen las cuentas frente a la fuerza bruta?
La cuenta se bloquea quince minutos tras ocho intentos fallidos, y el mensaje de error no revela si ese correo existe. Cuando no hay ninguna cuenta que comprobar se gasta igualmente el tiempo de cálculo del hash, para que la respuesta no delate por su rapidez que la dirección no está dada de alta.
¿Cuánto dura una sesión?
Treinta días sin usarse, en una ventana que desliza cada vez que se entra, con un tope absoluto de ciento ochenta días que no desliza: obliga a identificarse de nuevo al menos dos veces al año. Las sesiones caducadas se borran cada noche.
¿Qué cierra las sesiones abiertas de una persona?
Cambiar su contraseña, bloquear la cuenta desde administración y darla de baja desde el sistema de personal por SCIM. En los tres casos se borran todas sus sesiones, así que una pestaña que quedara abierta deja de valer en el acto.
¿Hay verificación en dos pasos?
Propia, no. Quien entra con la cuenta de su empresa por inicio de sesión único pasa por las reglas de acceso condicional y el doble factor de su proveedor de identidad, y aquí no teclea ninguna contraseña. Para la plantilla que entra con un código de invitación y su correo personal, eso no aplica.
¿Se puede obligar a que todo el mundo entre por el proveedor de identidad?
Hay un ajuste que desactiva la entrada con contraseña para los dominios de correo configurados. No afecta a quien entra con código de acceso sin correo de empresa: esas cuentas no tienen contraseña que desactivar, y son la mitad de la plantilla en una fábrica o en un almacén.
05Inicio de sesión único y aprovisionamiento
¿Qué inicio de sesión único se admite?
OpenID Connect, con Microsoft Entra ID, Google Workspace y Okta. Se configura pegando la dirección de descubrimiento del proveedor y de ahí salen solas las de autorización, canje y claves. De nuestro lado se verifica la firma del token de identidad y que el emisor sea exactamente el que se pidió.
¿Y SAML 2.0 o LDAP?
No. El inicio de sesión único va por OpenID Connect y solo por ahí. Es una decisión y no una fecha pendiente: SAML es XML firmado, verificar esa firma bien exige canonicalización XML y ahí es donde han salido casi todos los saltos de autenticación de la última década. Si vuestro pliego exige SAML por escrito, conviene decirlo antes de seguir.
¿Hay aprovisionamiento automático de usuarios?
Sí, SCIM 2.0 en «/scim/v2/Users». Se declara exactamente lo implementado: filtro por «userName» y «externalId», paginación y modificación parcial con PATCH. No hay operaciones en lote, ni ordenación, ni «etag», ni cambio de contraseña por SCIM, y no se declaran a propósito: declarar de más hace que la sincronización se salte gente creyendo que sí.
¿Qué pasa cuando el sistema de personal da a alguien de baja?
La cuenta se desactiva, deja de poder entrar y se le cierran las sesiones abiertas. No se borra: borrarla se llevaría por delante sus publicaciones y sus comentarios, y un tablón con agujeros es peor que un tablón con el nombre de alguien que ya no está. Hay un ajuste para anonimizar en vez de desactivar. Un DELETE de SCIM también desactiva.
¿Cómo se autentica vuestro sistema contra el nuestro?
Con un token de portador que genera la propia empresa en Administración › Identidad corporativa. Se enseña una vez y no se puede volver a ver: en la base solo queda su hash. Si se pierde, se genera otro y el anterior deja de valer.
06Registro de auditoría y actividad
¿Hay registro de auditoría?
Sí. Cada apunte guarda la empresa, quién lo hizo, la acción, la entidad afectada, la dirección IP y la fecha. Cubre altas y bajas de personas, cambios de rol, invitaciones creadas y revocadas, aprobaciones y rechazos de publicaciones, subidas y borrados de documentos, acuses de recibo, cambios de contraseña, la configuración y el encendido del inicio de sesión único y de SCIM, y el alta y la baja de módulos.
¿Caduca ese registro?
No. Es la diferencia con el registro de actividad del día a día, que sí caduca: la auditoría de lo sensible se queda.
¿Se puede consultar y exportar?
Hoy se consulta a petición. Todavía no hay una pantalla que lo muestre ni exportación en un fichero.
¿Qué se registra de la actividad de cada persona, y durante cuánto?
Solo si la empresa contrata el módulo «Accesos y actividad». Entonces se guardan los aparatos desde los que entra cada persona y la sección visitada —«/comunidades», no «/comunidades/planta-getafe»— y nunca el contenido de lo que se lee o se escribe. Se borra automáticamente a los noventa días. Cada persona ve sus propios aparatos en su perfil, no solo quien administra: un control que la plantilla no puede mirar es vigilancia, y uno que sí, es seguridad.
07Subencargados y qué sale hacia fuera
¿Quiénes son los subencargados?
Hostinger International Limited, como proveedor de la infraestructura donde se alojan los servidores: actúa como encargado, tiene firmado el contrato correspondiente y no accede al contenido. Y los asesores externos de contabilidad, fiscalidad y asesoramiento jurídico, limitados a los datos de facturación y sujetos a secreto profesional. Cualquier cambio se comunica con antelación suficiente para que la empresa cliente pueda oponerse.
¿Qué terceros reciben datos por el hecho de usar la herramienta?
Ninguna analítica, ninguna publicidad, ninguna gestión de campañas y ningún complemento de redes sociales. Las tipografías y los demás recursos se sirven desde nuestro propio servidor. Salen hacia fuera dos cosas y solo dos: el correo, por el servidor de envío que se configure; y los avisos del navegador, si se activan, que pasan por el servicio de empuje del navegador de cada persona firmados con claves VAPID según el RFC 8292.
¿Se entrena algún modelo de inteligencia artificial con nuestro contenido?
No. Ni con las publicaciones, ni con los comentarios, ni con las respuestas de las encuestas, ni con los documentos. La herramienta no tiene funciones de inteligencia artificial, así que tampoco tiene por dónde mandar vuestro contenido a ninguna parte.
08Conservación, borrado y salida
¿Cuánto tiempo se conservan los datos?
Mientras esté vigente el contrato. Dentro de eso hay plazos que se aplican solos cada noche: la actividad se borra a los noventa días; los avisos leídos, a los noventa; los avisos sin leer, a los ciento ochenta; los mensajes del formulario de contacto, al año; y las sesiones y las invitaciones caducadas, en cuanto caducan. Los registros del servidor se guardan noventa días.
¿Qué pasa al terminar el contrato?
La empresa dispone de treinta días naturales de acceso para exportar su información. Pasado ese plazo, los datos y los archivos se suprimen de forma definitiva en un máximo de treinta días adicionales, copias de seguridad incluidas, con la única excepción de lo que haya que conservar por obligación legal, que se limita a la facturación.
¿Cómo se saca la información?
Los documentos y los archivos se descargan desde la propia herramienta. Un volcado completo de publicaciones, personas y respuestas se pide y se entrega. Hoy no hay un botón de «exportar todo»: está en el plan de trabajo, sin fecha comprometida.
09Protección de datos e incidentes
¿Quién es responsable y quién encargado?
La empresa cliente es la responsable del tratamiento de los datos de su plantilla; nosotros somos encargados. El contrato de encargo está publicado dentro de la política de privacidad, con las obligaciones del artículo 28 del RGPD una a una.
¿Hay delegado de protección de datos?
No se ha designado, por no concurrir ninguno de los tres supuestos del artículo 37 del RGPD: ni autoridad pública, ni observación sistemática a gran escala, ni categorías especiales de datos a gran escala.
¿Podemos auditaros?
Sí. Entre las obligaciones asumidas como encargados está poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías, incluidas inspecciones, con preaviso razonable.
¿A quién se avisa si hay una violación de la seguridad?
A la empresa cliente, que es la responsable del tratamiento, sin dilación indebida y con la información que necesite para cumplir sus propias obligaciones de notificación ante la autoridad de control y, cuando proceda, ante las personas afectadas. Es una obligación escrita en el contrato de encargo.
Sin respuesta escrita
El plazo concreto en horas desde la detección no está comprometido por escrito. Si vuestro pliego exige un número, se acuerda en el contrato antes de firmar y no se da aquí por supuesto.
¿Comprometéis un porcentaje de disponibilidad?
No. Las condiciones dicen que el servicio se presta con diligencia razonable y que se procura la disponibilidad continuada, pero no se compromete una cifra garantizada, porque no se mide ni se compensa. Si vuestro pliego exige un acuerdo de nivel de servicio con penalizaciones, hoy no lo cumplimos.
¿Falta alguna pregunta de vuestro pliego?
Mandadla y la contestamos por escrito. Las que se repitan acaban en esta página, que es para lo que está.
info@blastack.com