Seguridad
Dónde están vuestros datos y quién puede verlos
Una herramienta de comunicación interna acaba conteniendo nóminas, protocolos y lo que la plantilla opina de su empresa. Esto es lo que hacemos con esos datos, en concreto.
Dónde están los datos
- Servidores en la Unión Europea, sin transferencias fuera del EEE.
- Base de datos accesible solo desde el propio servidor, nunca expuesta a internet.
- Copias de seguridad dentro de la misma jurisdicción.
- Sin terceros analizando el contenido de vuestras comunicaciones.
Quién puede ver qué
- Cada consulta a la base de datos lleva el identificador de la empresa: un dato de otra organización no existe para vuestra sesión.
- Seis roles con alcance distinto, y las salvaguardas comprobadas en el servidor, no solo en la pantalla.
- Los archivos no son públicos: cada descarga vuelve a comprobar sesión y pertenencia.
- Registro de auditoría de altas, bajas, cambios de rol y aprobaciones.
Credenciales y sesiones
- Las contraseñas no se guardan: se guarda un derivado con scrypt y sal por usuario.
- El identificador de sesión se almacena cifrado; un volcado de la tabla no permite suplantar a nadie.
- Bloqueo temporal tras varios intentos fallidos.
- Al cambiar la contraseña se cierran las sesiones abiertas en otros dispositivos.
Anonimato en encuestas
- Cuando una encuesta se marca como anónima, la respuesta se guarda sin vínculo con la persona.
- Ni un administrador ni nosotros podemos reconstruir quién respondió qué.
- A cambio se pierde el desglose por departamento, y se avisa en la propia pantalla.
- Es la única forma de que una encuesta de clima sirva para algo.
Infraestructura y subencargados
Los servidores de Blastack están alojados por terceros, y cada uno de esos terceros tiene sus propias certificaciones. Aquí va quién es quién y qué papel tiene cada cual, con el nombre del titular delante de cada certificado para que se pueda comprobar por su número de registro.
Proveedor de la infraestructura
Hostinger International Limited
- Hostinger International Limited es la sociedad con la que está firmado el contrato de encargo del tratamiento, y la titular del sistema autónomo al que pertenece el servidor.
- Hostinger International Limited está certificada en ISO/IEC 27001:2022. La auditoría la firma TÜV Thüringen.
- El alcance de esa certificación es el de Hostinger International Limited: su infraestructura y sus procesos.
Se comprueba sin pasar por nosotros, en su centro de confianza: trust.hostinger.com.
Operador del centro de datos
Digital Realty
- El edificio donde están los servidores es un centro de datos de Digital Realty en París (Francia, Unión Europea).
- Digital Realty tiene para ese centro las certificaciones ISO 27001, ISO 14001 e ISO 50001.
- Es quien opera el edificio y sus instalaciones. No es el proveedor del servidor ni interviene en el servicio.
Cada certificación de este apartado la ostenta la empresa nombrada justo encima, y ampara su propia infraestructura. Van con el titular delante a propósito: un certificado sin titular no se puede comprobar, y en un pliego eso vale lo mismo que no traerlo.
Lo que aún no tenemos
Preferimos decirlo aquí a que lo descubráis en una reunión. Hoy no tenemos certificación ISO 27001 ni informe SOC 2 Tipo II; no tenemos verificación en dos pasos propia, aunque quien entra con la cuenta de su empresa pasa por el acceso condicional de su proveedor; y no hablamos SAML 2.0 —el inicio de sesión único va por OpenID Connect, que cubre Microsoft Entra ID, Google Workspace y Okta, pero si vuestro pliego exige SAML por escrito, eso no lo tenemos—. Están en el plan de trabajo, sin fecha comprometida.
Si alguna de esas tres es imprescindible para vosotros, escribidnos y os decimos por dónde va.
La lista entera de lo que hoy no hacemos, con el detalle de cada cosa, está en las preguntas frecuentes.
¿Dudas concretas de vuestro departamento de sistemas?
Respondemos a cuestionarios de seguridad sin problema. Escribid y os contestamos por escrito.