Política de Seguridad

Esta Política resume las medidas técnicas y organizativas que Ruum aplica para proteger la información. Complementa la Política de Privacidad.

Índice

Principios
Cifrado y credenciales
Control de accesos
Infraestructura y alojamiento
Registro y monitorización
Copias de seguridad
Gestión de incidentes y brechas
Comunicación responsable de vulnerabilidades
Limitaciones

1. Principios

Ruum aplica medidas razonables y proporcionadas a la naturaleza del Servicio para proteger la confidencialidad, integridad y disponibilidad de la información, siguiendo un enfoque de mejora continua.

2. Cifrado y credenciales

Las contraseñas se almacenan siempre cifradas mediante funciones de hash (bcrypt), nunca en texto claro.
Los códigos de un solo uso (OTP) y las huellas de dispositivo se almacenan cifrados mediante hash.
Las comunicaciones con el Servicio se realizan cifradas en tránsito (HTTPS/TLS).

3. Control de accesos

Autenticación basada en tokens (JWT) y gestión de sesiones.
Mecanismo de dispositivos de confianza y registro de auditoría de eventos de acceso (OTP).
Roles y permisos por usuario, empresa y proyecto, que limitan el acceso a la información según el papel de cada persona.

4. Infraestructura y alojamiento

Frontend: Vercel. Backend: Render. Base de datos: Neon.
Ruum prioriza el alojamiento en la Unión Europea (principalmente Frankfurt cuando es posible).
Los proveedores de infraestructura aplican sus propias medidas de seguridad de nivel profesional.

5. Registro y monitorización

Registro de eventos de negocio y de errores para diagnóstico y seguridad.
Monitorización de errores mediante Sentry y analítica de uso mediante PostHog, conforme a la Política de Cookies.

6. Copias de seguridad

Se realizan copias de seguridad periódicas de la base de datos, con una retención limitada y rotación.

7. Gestión de incidentes y brechas

En caso de violación de la seguridad de los datos personales que entrañe un riesgo para los derechos de las personas, Ruum la notificará a la autoridad de control competente (AEPD) sin dilación indebida y, cuando sea factible, en un plazo máximo de 72 horas desde que tenga constancia, y a las personas afectadas cuando el riesgo sea alto, conforme a los artículos 33 y 34 del RGPD.

8. Comunicación responsable de vulnerabilidades

Si detectas una vulnerabilidad de seguridad, comunícala de forma responsable a security@ruum.es. Te pedimos que no la divulgues públicamente hasta que podamos analizarla y corregirla.

9. Limitaciones

Ninguna medida de seguridad es infalible. Ruum no puede garantizar una seguridad absoluta, pero se compromete a mantener y mejorar medidas razonables conforme al estado de la técnica y a los riesgos del tratamiento.

7. Gestión de incidentes y brechas

En caso de violación de la seguridad de los datos personales que entrañe un riesgo para los derechos de las personas, Ruum la notificará a la autoridad de control competente (AEPD) sin dilación indebida y, cuando sea factible, en un plazo máximo de 72 horas desde que tenga constancia, y a las personas afectadas cuando el riesgo sea alto, conforme a los artículos 33 y 34 del RGPD.