Seguridad
Cómo protegemos los datos de sus inversores.
Los gestores confían a EasyHaus los documentos de identidad, números fiscales y datos bancarios de sus inversores. Esta página describe de forma sencilla las medidas implantadas actualmente.
Medidas aplicadas
Cifrado
Los datos se cifran en tránsito y los campos más sensibles se cifran de nuevo en la base de datos.
- Todo el tráfico utiliza TLS con HSTS.
- Los identificadores fiscales, números de documentos de identidad y de cuentas bancarias, identificadores de titulares reales, secretos del segundo factor y códigos de recuperación se cifran con AES-256-GCM. La clave se mantiene fuera de la base de datos y se puede rotar.
- Los campos cifrados solo se muestran completos a propietarios y administradores, se enmascaran para los demás y nunca se escriben en los registros.
- El historial de auditoría enmascara los campos cifrados, las direcciones de correo y los números de teléfono.
Separación entre organizaciones
Cada organización es un entorno aislado.
- Cada consulta a la base de datos se limita a una organización y una comprobación automática rechaza las que no lo hacen.
- Una batería de pruebas de aislamiento crea dos organizaciones con datos idénticos y comprueba que ningún endpoint devuelva o cambie registros de la otra.
- Un registro de otra organización responde como no encontrado para no revelar su existencia.
- Una sesión del portal pertenece a una organización y una dirección, y se rechaza en cualquier otra.
Cuentas e inicio de sesión
El inicio de sesión está protegido frente a intentos de adivinar credenciales y al robo de sesiones.
- Las contraseñas se almacenan como hashes argon2id, deben tener al menos 10 caracteres y se contrastan con filtraciones conocidas.
- Autenticación de dos factores con una aplicación de autenticación y códigos de recuperación. Los propietarios pueden exigirla a todos los miembros.
- Diez códigos incorrectos consecutivos bloquean el segundo factor durante una hora y envían un correo al usuario.
- Los tokens de sesión son valores aleatorios de 256 bits almacenados solo como hashes, con caducidad por inactividad y absoluta. Los usuarios pueden consultar y cerrar sus sesiones.
- Restablecer una contraseña cierra todas las sesiones; cambiarla cierra las demás.
- Las solicitudes de inicio de sesión, restablecimiento y enlace por correo tienen límites de frecuencia, y los enlaces solo funcionan una vez.
Acceso del personal de EasyHaus
Nuestro personal no consulta libremente los datos de los clientes.
- El soporte solo puede actuar dentro de su organización cuando su propietario activa el acceso del soporte y debe indicar un motivo cada vez.
- Las sesiones de soporte pueden cambiar un conjunto limitado de registros. No pueden invitar miembros, cambiar ajustes de seguridad ni leer identificadores descifrados.
- Cada acción del soporte se registra en su historial de auditoría y al desactivar el acceso se cierran las sesiones de soporte activas.
- El área de administración de la plataforma exige autenticación de dos factores y sesiones breves.
Seguridad de la aplicación
El diseño contempla los ataques web habituales.
- Una política de seguridad de contenido estricta con nonces por solicitud, y páginas que otros sitios no pueden insertar en marcos.
- Toda solicitud que cambie el estado necesita una cabecera personalizada y las cookies son HttpOnly, Secure y SameSite.
- Los archivos subidos se comprueban por tamaño y contenido real, se limitan a una lista de tipos permitidos y se sirven como descargas. Las imágenes se decodifican y recodifican, eliminando los metadatos.
- Los enlaces de subida caducan pronto y solo se pueden usar una vez.
- Las exportaciones CSV escapan las celdas que una hoja de cálculo ejecutaría como fórmulas.
- Las solicitudes se validan estrictamente y los errores nunca exponen detalles internos.
- Las dependencias se analizan con govulncheck y pnpm audit para detectar vulnerabilidades conocidas.
Registros y responsabilidad
Puede demostrar qué ocurrió y cuándo.
- Un historial de auditoría de cada cambio: quién, qué, antes y después, cuándo y desde qué dirección. No se puede eliminar.
- Las confirmaciones de lectura de documentos registran el usuario, la versión, la hora y el hash del archivo.
- Cada descarga de documentos se comprueba y registra.
Privacidad y derechos sobre los datos
Herramientas para responder a las solicitudes de sus inversores.
- Exporte los datos de un cliente como ZIP o los de toda su organización.
- Borre un cliente: se sustituyen los campos personales y se eliminan los documentos, mientras los registros financieros conservan un nombre anonimizado.
- Al eliminar una organización, se puede recuperar durante 30 días; después, sus datos y archivos se borran definitivamente.
- Solo cookies estrictamente necesarias de forma predeterminada. Google Analytics en el sitio de marketing y en la aplicación solo se ejecuta con su consentimiento cuando la ley lo exige. Sin cookies publicitarias.
Revisiones y pruebas
En octubre de 2026 se completó una revisión interna de seguridad de la aplicación y se corrigieron sus hallazgos. Aún no se ha realizado una prueba de penetración independiente.
Comunicar una vulnerabilidad
Si cree haber encontrado un problema de seguridad, comuníquenoslo mediante el formulario de contacto con el asunto Informe de seguridad y omita los detalles de explotación hasta que respondamos. No acceda a datos ajenos ni interrumpa el servicio durante las pruebas.
¿Tiene preguntas su equipo de cumplimiento?
Estaremos encantados de repasar estas medidas con usted.
