Política de seguridad de la información
Cómo se protege la información que tratamos: la de tu cuenta y la que procede de las fuentes oficiales. Describe las medidas sin dar detalles que puedan servir para atacar el servicio.
Principios
- Se trata solo la información necesaria para dar el servicio, se protege desde el diseño y se revisa cuando cambia el servicio o aparece un riesgo nuevo.
- La información de fuentes oficiales se guarda sin datos de personas físicas: nombres y documentos de identidad se sustituyen antes de guardar, y una comprobación automática diaria avisa si alguno vuelve a aparecer.
Acceso y cuentas
- Todo el tráfico va cifrado con HTTPS.
- Las contraseñas se guardan con una función de resumen irreversible: no son legibles ni para nosotros.
- La sesión se mantiene con un testigo que caduca a los 30 días, en una cookie que el navegador no deja leer desde JavaScript. Cambiar la contraseña o borrar la cuenta cierra todas las sesiones.
- Los intentos de acceso, de alta y de recuperación de contraseña están limitados para frenar ataques de fuerza bruta.
- Los datos de cada equipo están separados de los de los demás, y dentro del equipo cada rol solo puede hacer lo que le corresponde. El panel de operación del servicio solo lo usan las personas que lo operan.
Infraestructura y desarrollo
- El servicio se despliega de forma automática después de pasar las pruebas, que incluyen comprobaciones de seguridad y de protección de datos. Si fallan, no se publica.
- Las dependencias de software se revisan contra los avisos de vulnerabilidades conocidas en cada despliegue y se actualizan cuando hay una corrección.
- La base de datos no está expuesta a Internet. Los procesos que analizan documentos acceden solo a través de la API, con credenciales propias y limitadas.
- Los errores técnicos se registran sin datos que identifiquen a las personas usuarias.
Proveedores
- Solo intervienen los proveedores necesarios para que el servicio funcione, que se enumeran en la política de privacidad, y tratan los datos únicamente para prestar ese servicio.
Incidentes
- Si se produce una brecha de seguridad que afecte a datos personales, se notifica a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que se conoce y, cuando haya un riesgo alto, a las personas afectadas.
- Cada incidente se registra con lo ocurrido, sus efectos y las medidas tomadas, aunque no haya que notificarlo.
Cómo avisarnos de una vulnerabilidad
- Si encuentras un fallo de seguridad, escríbenos a info@licitaplan.com con una descripción y los pasos para reproducirlo. Respondemos en un plazo de 5 días laborables.
- Te pedimos que no accedas a datos de otras personas, no degrades el servicio y no hagas público el fallo hasta que esté corregido. La dirección de contacto también está en /.well-known/security.txt.
Última actualización: 12 de octubre de 2026.
← Volver al inicio