Seguridad

1. Dónde están los datos

La base de datos, los ficheros y la autenticación están en Supabase, en la región eu-west-1 (Irlanda), Unión Europea. Un entorno de pruebas separado, con datos de prueba, vive en el mismo proveedor y región. La aplicación web se sirve desde Vercel. Los correos salen por Resend o, si la asesoría ha conectado su buzón, desde su propio Microsoft 365. La lectura automática de documentos la hace Anthropic por API, sin retención para entrenamiento. Todos figuran, con su ubicación y sus garantías, en la lista de subencargados.

Limbo, SLU está en Andorra, con decisión de adecuación de la Unión Europea.

2. Cifrado

• En tránsito: toda la comunicación entre el navegador, la aplicación, la base de datos y los proveedores va por TLS. No hay ninguna ruta sin cifrar.
• En reposo: la base de datos, el almacenamiento de ficheros y las copias de seguridad se guardan cifrados (AES-256) en la infraestructura del proveedor.
• Contraseñas: se almacenan solo como hash con sal (bcrypt), nunca en claro. Las claves de acceso de los formularios de clientes, igual.
• Secretos: las claves de los proveedores viven en el gestor de secretos de la infraestructura, fuera del código y del repositorio.

3. Aislamiento entre asesorías

Docket es multi-asesoría sobre una misma base de datos, y el aislamiento no depende de que el código «se acuerde» de filtrar: cada fila de datos lleva la asesoría a la que pertenece y la base de datos aplica políticas de seguridad a nivel de fila (RLS) que impiden que una sesión lea o escriba fuera de su asesoría. Lo mismo para los ficheros: el almacenamiento comprueba la asesoría en la ruta de cada objeto. Estas reglas se prueban automáticamente con cada cambio (más de ochenta pruebas sobre las políticas de acceso).

Los formularios y renovaciones que responden los clientes finales no tienen acceso a nada más que a su propio formulario: se leen y se envían a través de funciones que comprueban la sesión abierta en la puerta, y el bucket de subidas no admite escrituras anónimas.

4. Control de acceso

• Cuentas: acceso con correo y contraseña; la contraseña temporal del alta se cambia obligatoriamente en el primer acceso. La autenticación en dos pasos está prevista; hasta que esté disponible, recomendamos contraseñas largas y únicas.
• Permisos: cada asesoría define políticas de permisos por función (ninguno, lectura, escritura) y las asigna a sus empleados; la base de datos las aplica en cada operación, no solo la interfaz.
• Clientes finales: el enlace que reciben es personal y caduca; para abrirlo necesitan su correo y una clave de acceso que viaja en el mismo mensaje. Cinco intentos fallidos bloquean el acceso quince minutos. La sesión que se abre dura sesenta minutos, muere al cerrar o recargar la pestaña y se gasta al enviar. Las sesiones de los usuarios de las asesorías duran ocho horas desde que entran. Reenviar un formulario genera un enlace y una clave nuevos.
• Personal de Docket: accede a los datos de una asesoría solo para operar el servicio, resolver una incidencia o atender una solicitud de soporte de esa asesoría, con acceso nominal y registrado, y bajo compromiso de confidencialidad.

5. Trazabilidad

La aplicación registra la actividad relevante de cada asesoría —quién crea o cambia un asunto, un documento, un permiso, un envío— y la enseña en la propia aplicación. La infraestructura guarda registros de acceso y de las funciones de servidor. La aceptación de las condiciones por parte de los clientes finales queda anotada con fecha, hora, dirección IP, navegador y versión de los textos aceptados, como prueba a disposición de la asesoría.

6. Copias de seguridad y continuidad

La base de datos tiene copias de seguridad diarias automáticas con siete días de retención, cifradas, gestionadas por el proveedor de infraestructura, y un procedimiento de restauración probado. Los ficheros se almacenan en un servicio de objetos con redundancia. La infraestructura es gestionada, con parches del sistema y de la base de datos a cargo del proveedor, y Docket sigue sus avisos de seguridad.

7. Desarrollo seguro

• Todo cambio entra por revisión de código y pasa una batería de pruebas automáticas —de la interfaz, de las funciones de servidor y de las reglas de acceso de la base de datos— antes de desplegarse.
• Entornos de prueba y producción separados, con proyectos y credenciales distintos.
• Dependencias vigiladas y actualizadas; sin secretos en el código.
• Las funciones de servidor validan cada petición contra la sesión o el permiso que corresponde; ninguna confía en lo que dice el navegador.

8. Incidentes y notificación

Ante una violación de la seguridad que afecte a datos personales, Docket la contiene, la investiga y avisa a las asesorías afectadas en un máximo de 48 horas desde que la conoce, con lo que necesitan para cumplir sus propias obligaciones (notificar a la autoridad en 72 horas, informar a los interesados). Después documenta el incidente y las medidas tomadas.

9. Certificaciones e informes

Docket no tiene todavía una certificación propia (ISO 27001, SOC 2). Nuestros proveedores de infraestructura sí: Supabase (SOC 2 Tipo II, HIPAA), Vercel (SOC 2 Tipo II, ISO 27001) y Microsoft (ISO 27001 y otras). Sus informes están disponibles a través de ellos; Docket facilita a las asesorías, bajo confidencialidad, la documentación de cumplimiento que le pidan conforme a la cláusula 10 del acuerdo de encargo.

10. Divulgación responsable

Si has encontrado una vulnerabilidad en Docket, escríbenos a hola@limbo.ad con el asunto «Seguridad» y el detalle para reproducirla. Te responderemos en un plazo de dos días laborables, no emprenderemos acciones contra quien investigue de buena fe sin acceder a datos ajenos ni degradar el servicio, y te diremos cuándo está resuelto.

Versión de 2026-09-09.