Seguridad

Esta página resume las medidas técnicas y organizativas que aplicamos para proteger los datos personales tratados en Tech Gestión de Prácticas, conforme al artículo 32 del RGPD. El detalle contractual completo figura en el contrato de encargo de tratamiento suscrito entre TECH y Kora Solutions.

1. Cifrado y transporte seguro

• Toda la comunicación con la plataforma viaja cifrada mediante HTTPS (TLS), con certificado válido renovado automáticamente.
• Se envía la cabecera Strict-Transport-Security (HSTS), que obliga al navegador a usar siempre conexión cifrada en visitas sucesivas.
• Cabeceras adicionales de protección del navegador: X-Frame-Options (evita que la plataforma se incruste en otro sitio), X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
• Los datos en la base de datos y en el almacenamiento de archivos se guardan cifrados en reposo, sobre la infraestructura de nuestro proveedor de base de datos.

2. Alojamiento en la Unión Europea

Toda la infraestructura que trata datos personales está ubicada dentro de la Unión Europea:

• Base de datos, autenticación y almacenamiento de archivos: Supabase, región eu-central-1 (Fráncfort, Alemania).
• Servidor de la aplicación: Hostinger, centro de datos de París (Francia).

No se realizan transferencias internacionales de datos fuera del Espacio Económico Europeo.

3. Control de acceso por rol

Cada persona solo puede ver y modificar los datos que le corresponden según su rol (super_admin, dirección, gestor, centro responsable/tutor). Esta restricción no depende únicamente de lo que muestra la interfaz: está aplicada directamente en la base de datos mediante políticas de seguridad a nivel de fila (Row Level Security), de modo que ni siquiera un error de programación en una pantalla podría exponer datos a quien no tiene permiso para verlos.

4. Autenticación

La gestión de usuarios y contraseñas está delegada en el sistema de autenticación de nuestro proveedor de base de datos. Las contraseñas nunca se almacenan en texto claro ni se procesan con lógica propia: quedan protegidas mediante una función de resumen (hash) irreversible desde el momento en que se crean.

5. Documentos y archivos privados

• Los documentos (DNI, currículums, certificados, anexos firmados, firmas y sellos digitalizados) se guardan en almacenamiento privado, nunca en una carpeta de acceso público.
• Cada descarga o visualización se sirve mediante un enlace firmado de un solo uso, con caducidad de una hora.
• Toda imagen que se sube a la plataforma (firmas, sellos, fotografías de documentos) se redimensiona y recomprime automáticamente al guardarla, reduciendo su tamaño y descartando metadatos incrustados del archivo original.
• El tipo y el tamaño máximo de cada archivo se valida en el servidor antes de guardarlo, con independencia de lo que el navegador permita seleccionar.

6. Trazabilidad y auditoría

Los cambios relevantes sobre los datos (altas, bajas, modificaciones) quedan registrados junto con quién los realizó y cuándo, en un registro de auditoría al que solo tiene acceso el personal autorizado de Kora Solutions. Los errores técnicos de la aplicación se registran de forma equivalente, para poder diagnosticar incidencias sin necesidad de acceder a los datos de los usuarios.

7. Soporte técnico sin poner en riesgo tus datos

Cuando es necesario investigar una incidencia reportada por un usuario, el personal de soporte puede reproducir su vista exacta de la plataforma en un modo de solo lectura: durante ese modo, cualquier intento de guardar, modificar o borrar algo queda bloqueado a nivel técnico, no solo ocultando los botones correspondientes. Cada uso de este modo queda registrado (quién lo activó, sobre qué perfil y cuándo).

8. Gestión de vulnerabilidades

Las dependencias de software de la plataforma se revisan y actualizan periódicamente frente a vulnerabilidades conocidas publicadas por la comunidad de seguridad (National Vulnerability Database / GitHub Security Advisories).

9. Copias de seguridad

La base de datos cuenta con copias de seguridad automáticas gestionadas por nuestro proveedor de infraestructura.

10. Notificación de incidentes

Ante cualquier incidente que pudiera afectar a la seguridad de los datos personales, Kora Solutions se compromete a informar a TECH sin dilación indebida, en el plazo establecido en el contrato de encargo de tratamiento, para que esta pueda cumplir con sus obligaciones de notificación ante la Agencia Española de Protección de Datos cuando proceda.

¿Has detectado algo?

Si crees haber encontrado una vulnerabilidad de seguridad en la plataforma, agradecemos que nos lo comuniques de forma responsable a david.fernandez@korasolutions.net antes de divulgarlo públicamente.