Seguridad y cumplimiento

Dónde están los datos y quién puede tocarlos.

Es lo primero que pregunta un secretario o un delegado de protección de datos, y merece una respuesta concreta: lo que ya está hecho, y lo que todavía no.

Cada organismo, en su propia base de datos

No es una opción que haya que acordarse de marcar: es como se da de alta un organismo. Sus datos no conviven con los de otro en las mismas tablas, así que no hay cruce posible por un filtro mal puesto. Ante una auditoría se enseña que son bases distintas, no una configuración.

La plataforma se alojará en un proveedor con centros de datos en España y certificado en el Esquema Nacional de Seguridad.

Protección de datos

• El organismo es el responsable del tratamiento de lo que introduce. Actaria actúa como encargado (art. 28 RGPD).
• El contrato de encargo se firma antes de cargar ningún dato, y los datos solo se tratan para prestar el servicio.
• Se informa de los subencargados: el proveedor de alojamiento y, solo si el organismo activa el asistente, el proveedor de inteligencia artificial.
• Al terminar, el organismo recibe sus datos en un formato estructurado y se eliminan.

Quién entra

• Contraseñas de doce caracteres como mínimo. No se exigen símbolos ni mayúsculas a propósito: empujan a formas previsibles como «Verano2026*» y hacen imposibles las frases largas, que son las que resisten.
• Cinco intentos fallidos bloquean la cuenta quince minutos.
• Verificación en dos pasos con una aplicación de autenticación en el móvil.
• Cerrar sesión la cierra en todas partes, no solo en el navegador donde se pulsa. Cambiar la contraseña, retirar un rol o desactivar una cuenta tienen efecto inmediato.
• La duración de la sesión la elige el organismo, dentro de un máximo que él no puede superar: un ajuste de seguridad que el vigilado puede relajar no protege de nada.

Queda constancia

La aplicación anota quién entra, quién lo intenta sin conseguirlo y a quién se le cambian los permisos, con fecha y dirección. Ese registro no lo puede borrar el administrador del organismo: quien concede permisos no debe poder borrar la constancia de haberlos concedido.

Dentro del expediente, cada decisión queda con su firma y su fecha, y cada guardado en un histórico técnico. Un acto cerrado se reabre con motivo, y el motivo queda escrito. Una nota no se borra: se tacha, con motivo.

Permisos que se ejercen

La evaluación tiene un permiso por sobre. Quien valora la propuesta técnica no ve la oferta económica, y no porque la pantalla la oculte: el importe no llega a su navegador. Un evaluador designado solo puede valorar los lotes que se le encargaron.

Cuando alguien no tiene permiso para algo, el control se ve apagado y explica qué permiso falta y a quién pedirlo. Así nadie cree que la aplicación está rota.

Secretos y comunicaciones

Las claves de la aplicación no están en el código y sin ellas no arranca: un despliegue mal configurado no puede pasar desapercibido. Las contraseñas de correo y las claves de proveedores que guarda el organismo se almacenan cifradas, y las comunicaciones van cifradas.

La inteligencia artificial, bajo control del organismo

Viene apagada. Si el organismo la activa, el contenido de cada consulta se envía al proveedor que elija, y dónde trata ese proveedor los datos es algo que conviene valorar antes de encenderla. El asistente propone y cita; no escribe en el expediente ni decide. El consumo se ve y puede limitarse.

Comprobaciones automáticas

332 pruebas vigilan que las reglas del programa no se rompan al cambiarlo, incluidas las de acceso y permisos. Cada una se prueba contra el fallo que dice vigilar antes de darla por buena: una prueba que pasa con el fallo puesto da una confianza que no existe.