Seguridad y datos

1. Qué datos guarda AUro

AUro no guarda números de tarjeta (los gestiona Stripe), no usa tus fotos ni tus informes para entrenar modelos de IA y no los vende ni los cede.

2. Dónde se alojan

La aplicación, la base de datos y los archivos (fotos, logos, firmas, copias de seguridad) están en la plataforma de Emergent (Emergent Labs, empresa de EE. UU.). El tráfico pasa antes por la red de Cloudflare. La región concreta de los servidores la determina Emergent; si tu evaluación de riesgos la necesita, pídenosla y te diremos lo que el proveedor nos confirme por escrito. Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.

3. Proveedores que intervienen

La lista con valor contractual está en el contrato de encargo. Avisamos con 30 días antes de añadir o cambiar un subencargado.

4. Cifrado y acceso

• Todo el tráfico va por HTTPS. La web y la API se sirven con la cabecera HSTS (dos años, también para los subdominios): tras la primera visita, el navegador no acepta conexiones sin cifrar a auroprl.com. La pone el borde del alojamiento y, además, el propio servidor de la aplicación.
• La sesión se guarda en una cookie httpOnly, Secure y SameSite=Lax que caduca a los 7 días; en la base de datos solo se guarda su hash (SHA-256), nunca el token. Solo si el navegador bloquea esa cookie (por ejemplo, algunas versiones de Safari en iPhone) se guarda además una copia del identificador en el almacenamiento local (localStorage) para que la sesión funcione; en los demás navegadores no se guarda y, si quedaba una de una versión anterior, se borra. Se borra también al cerrar sesión. En Ajustes > Perfil > Sesiones puedes «Cerrar sesión en todos los dispositivos»: se cierran todas las sesiones de tu cuenta (también las de un móvil perdido o un ordenador ajeno) y dejan de llegar sus avisos. Esa copia está menos protegida que la cookie frente a un script inyectado en la página; por eso la política de seguridad de contenidos (CSP) de la aplicación solo admite sus propios scripts, sin scripts en línea sin firmar.
• Cada cuenta solo accede a sus datos: todas las consultas de informes, fotos, obras y documentos se filtran por la cuenta o, en el plan Equipo (y en el plan Coordinador, que admite cuentas de solo lectura), por la organización. En un equipo, el titular ve y gestiona todo; el director técnico ve y revisa todos los informes y obras; cada técnico ve sus informes y las obras, medidas y libro de incidencias de la organización, que son compartidos, y de los informes de otros solo el título, el autor y la fecha. El titular y el director leen los informes ajenos sin poder cambiarlos ni firmarlos. Las cuentas de solo lectura (personas de fuera: dirección facultativa, promotor, auditor): solo ve las obras que le asigna el titular (sin obras asignadas, ninguna), y de ellas los informes ya firmados, las visitas, medidas, empresas, libro de incidencias y documentos; nunca los borradores, el resto de obras o clientes, ni los enlaces compartidos. Las fotos le llegan como a un tercero: con las caras difuminadas (salvo que el titular lo haya desactivado) y sin metadatos de ubicación, hora ni dispositivo. Puede descargar los documentos y el expediente de sus obras, pero no crea, edita, firma, aprueba ni envía nada. El titular decide a quién da este acceso y es responsable de esa comunicación de datos. Detalle en el contrato de encargo.
• Protección frente a peticiones de otros sitios (comprobación de origen), límites de peticiones por dirección y cabeceras de seguridad (X-Frame-Options y frame-ancestors, nosniff). La aplicación no se deja cargar dentro de una página ajena (protección frente al «clickjacking»).
• La administración de AUro (copias, cuentas y facturación manual) solo la tienen dos cuentas del titular de AUro, con el correo verificado por su proveedor y fijadas a su identificador de cuenta la primera vez que entran: otra cuenta con el mismo correo no es administradora. Si el titular pierde una de esas cuentas, la otra puede liberarla desde el panel de administración, o se fija la nueva con la configuración del servidor; cualquier cambio se avisa por correo a los administradores.
• Los enlaces para compartir un informe usan un código aleatorio de 256 bits del que en la base de datos solo se guarda la huella (SHA-256), caducan en el plazo que elijas y los puedes revocar en cualquier momento.
• El portal de la contrata usa también un código aleatorio de 256 bits del que solo se guarda la huella; caduca (de 1 a 180 días; 30 por defecto), se puede revocar y deja de valer al cerrar la obra. La contrata ve solo sus medidas pendientes y, antes de enviar nada, el portal le informa de quién es el responsable de sus datos, para qué se usan y cómo ejercer sus derechos (art. 13 RGPD).
• Los correos a terceros del modo coordinador (acta, informe periódico, enlace del portal, recordatorio de medidas vencidas) solo salen cuando el usuario pulsa «Enviar» y revisa los destinatarios, o con el recordatorio semanal a las contratas que el técnico activa expresamente en cada obra. Hay un máximo de 5 destinatarios por envío y 20 envíos por obra y día, y otro por usuario y día (con un cerrojo para que dos envíos simultáneos no lo superen). Van desde avisos@auroprl.com con el nombre y el correo del técnico, sin enlaces en el texto libre ni en los nombres, y cada envío queda registrado con la huella SHA-256 del adjunto.
• El cifrado de la base de datos y de los archivos en reposo depende de la plataforma de alojamiento; no lo afirmamos mientras Emergent no nos lo confirme por escrito.

5. Copias de seguridad

• Cada noche se hace una copia de la base de datos (sin sesiones ni registros de eventos) en el almacenamiento del alojamiento: una por día de la semana, que se sobrescribe a los 7 días, y una por mes, que se sobrescribe a los 12 meses.
• Cada copia se cifra con AES-256-GCM, con una clave derivada (PBKDF2-SHA256) de una frase de paso larga. Si no se ha fijado una en la configuración del servidor, la frase se genera al instalar y se guarda en la base de datos del servicio, pero nunca dentro de las copias: una copia sola, sin la frase, no se puede descifrar. Cada copia lleva la huella de la frase con la que se cifró (la huella no revela la frase).
• El titular de AUro guarda la frase además fuera del servidor, en un gestor de contraseñas, para poder restaurar si se perdiera la base de datos; hasta que confirma que lo ha hecho, el sistema se lo recuerda por correo cada 72 horas. Para ver la frase o descargar una copia hay que haber iniciado sesión como administrador hace menos de 10 minutos, y cada consulta de la frase y cada descarga de una copia se avisan por correo a todos los administradores (cuenta, IP y hora). Cada administrador puede consultar la frase como mucho 5 veces al día (y entre todos, 12). Ante cualquier aviso inesperado, el panel permite «Cerrar todas las sesiones de administración» (cierra también sus avisos en el dispositivo y reinicia el límite de consultas) y «Cambiar la frase». Al cambiarla, las copias nuevas se cifran con la nueva; las ya hechas siguen cifradas con la anterior (su huella dice cuál), que se conserva hasta que desaparece la última copia o foto replicada que la usa, y la réplica de fotos se vuelve a cifrar con la nueva poco a poco (el panel indica cuántas quedan). Si se marca «La frase se ha filtrado», además se vuelven a cifrar con la nueva todas las copias ya hechas y toda la réplica de fotos, y la frase anterior se borra en cuanto ninguna copia la usa. Si el almacenamiento externo tiene versionado sin bloqueo de objetos, AUro borra además las versiones anteriores de cada copia que vuelve a cifrar. Límite: con bloqueo de objetos (o sin permiso para borrar versiones), el proveedor conserva esas versiones antiguas, cifradas con la frase anterior, hasta que caducan según su regla de conservación; AUro no las puede borrar y el panel indica cuántas copias están en ese caso. Quien administre el servidor tiene acceso a la frase. Una copia cortada o manipulada no se puede descifrar. Si no hay frase, no se hace copia: nunca se guarda sin cifrar.
• Las copias no se envían por correo electrónico.
• El procedimiento de restauración está probado en las pruebas automáticas del servicio.
• Las fotos y archivos están en el almacenamiento de objetos del alojamiento, separados de la base de datos. Si se activa el almacenamiento externo (apartado 3), la copia cifrada y una réplica cifrada de las fotos, logos y firmas se guardan también fuera de Emergent; lo que se borra en AUro se borra también en la réplica.

6. Difuminado de caras

En los documentos que salen de la cuenta (PDF, Word, resumen y, en el modo coordinador, actas, comunicaciones, informes periódicos y expediente) y en los enlaces compartidos, AUro difumina automáticamente las caras que detecta un modelo que se ejecuta en el propio servidor, sin enviar la foto a terceros para ello. Si la detección falla, la foto sale pixelada entera, nunca la original, y se avisa al administrador. Las copias que salen de la cuenta se vuelven a codificar sin metadatos (ni GPS, ni hora, ni modelo del móvil). Dentro de la cuenta ves la foto original; las cuentas de solo lectura de un equipo, no: reciben la copia para terceros. Las fotos de las medidas (también las que sube la contrata) se guardan sin metadatos desde el principio. Es una ayuda, no una garantía: puede no detectar caras pequeñas, de perfil o tapadas, no detecta matrículas y no se aplica a vídeos. Se puede desactivar en Ajustes > Privacidad (en un equipo, solo el titular); aun así, lo que sale de la cuenta va sin metadatos, y las actas e informes periódicos dicen si las caras van difuminadas o no.

7. Inteligencia artificial

• Las fotos se envían al modelo de IA (Claude, de Anthropic; OpenAI solo como reserva) a través de su API para generar el borrador. Ninguno de los dos usa los datos de su API para entrenar.
• Sin proveedor de reserva, bajo petición. Si tu organización no acepta que sus datos lleguen a OpenAI, escríbenos a contacto@auroprl.com y desactivamos la reserva para tu cuenta o para todo tu equipo: tus informes, fichas y síntesis se hacen solo con Claude. La contrapartida es que, si Claude no responde, el informe falla con un aviso y se devuelve (no se cobra), en lugar de terminarse con la reserva.
• La normativa no la escribe la IA: cada riesgo recibe referencias de un catálogo cerrado revisado a mano.
• Cada documento indica que contiene texto generado con IA (Reglamento europeo de IA, art. 50) y que lo ha revisado y firmado un técnico.
• AUro no evalúa a personas trabajadoras; analiza condiciones de trabajo visibles.
• Qué hace la IA y qué no, cómo revisar el borrador antes de firmarlo y cómo formar a tu equipo: Guía de uso responsable de la IA (art. 4 del Reglamento europeo de IA).

8. Borrado

• Puedes borrar cada informe y sus fotos, o la cuenta entera, desde la aplicación.
• Las fotos se borran solas al cumplirse el plazo que tengas configurado; el texto del informe se conserva.
• Las fotos de las medidas del modo coordinador (y las de los informes ligados a una obra) se borran a los 5 años desde el cierre de la obra, salvo que la organización (o el técnico, si trabaja solo) elija otro plazo en Ajustes > Privacidad; queda la constancia de la comprobación (fecha, autor y texto). Mientras la obra está abierta no se borran.
• Una obra sin documentación se puede borrar en cualquier momento. Una obra con visitas, medidas, anotaciones o informes se cierra; una vez cerrada, el titular puede borrarla entera con una confirmación expresa, y se borra sola 6 años después de cerrarla (o el plazo que elija el titular). Al borrarla se borran sus visitas, empresas y contactos, medidas con sus fotos, anotaciones del libro, nombres y notas de las contratas, enlaces del portal, registro de envíos y expedientes preparados; los informes ligados se conservan sin obra y queda una constancia mínima sin nombres. Al borrar la organización, todo lo de sus obras.
• El coordinador puede suprimir el nombre y la nota de una persona de la contrata (derecho de supresión) sin borrar la constancia de la corrección.
• Al borrar la cuenta se eliminan sus informes, fotos, logo y firma, salvo los datos que la ley obliga a conservar (facturación), y la aplicación borra también lo guardado en ese dispositivo (borradores, caché sin conexión y colas pendientes). Las copias de seguridad desaparecen al sobrescribirse según su ciclo.

9. Lo que todavía no hacemos

• No tenemos certificaciones (ISO 27001, ENS). Respondemos a tu cuestionario de seguridad con lo que hacemos de verdad.
• Las fotos originales de los informes dentro de tu cuenta conservan sus metadatos (EXIF, que puede incluir la ubicación); lo que sale de la cuenta va sin ellos, y las fotos de las medidas se guardan ya sin ellos. Si te preocupa, desactiva la ubicación de la cámara en las fotos de obra.
• No ofrecemos todavía inicio de sesión con usuario y contraseña propios ni con enlace por correo: se entra con una cuenta de Google (y de Microsoft cuando aparezca el botón en la pantalla de acceso).
• No ofrecemos alojamiento dedicado ni elección de región.
• En los navegadores que bloquean la cookie de sesión (algunos Safari en iPhone), el identificador de sesión se guarda también en el almacenamiento local del navegador (apartado 4).
• Los borradores de informe (con las fotos originales hasta que se envían) y la copia del modo coordinador para trabajar sin cobertura se guardan en el navegador del dispositivo, separados por usuario. Cerrar sesión borra la sesión, pero no esos datos: en un dispositivo compartido, borra los datos del sitio desde el navegador (ver la Política de cookies).

10. Incidentes y contacto de seguridad

Si sufrimos una violación de seguridad que afecte a tus datos, te avisaremos sin dilación indebida y como máximo en 48 horas desde que la conozcamos (contrato de encargo, apartado 12).

Si encuentras una vulnerabilidad, escríbenos a contacto@auroprl.com con el asunto «Seguridad». Te contestaremos lo antes posible, no emprenderemos acciones contra quien la comunique de buena fe y te pedimos que no accedas a datos de otros clientes ni la publiques hasta que esté corregida.