Seguridad y Confianza

Última actualización: 16 de octubre de 2026

Esta página reúne las preguntas que los compradores empresariales y los equipos de compras nos hacen con más frecuencia: dónde reside el código, cómo gestionamos la confidencialidad y el acceso, cómo desarrollamos de forma segura y qué podemos poner por escrito. Si su proceso de evaluación de proveedores necesita más de lo que aquí se incluye, con gusto completamos su cuestionario de seguridad y respondemos cualquier duda directamente. Escríbanos a [email protected].

Propiedad y almacenamiento del código

Desarrollamos dentro de sus repositorios y cuentas en la nube desde el primer día, nunca alojados en los nuestros. El código fuente, el trabajo de diseño y la propiedad intelectual son suyos desde el primer commit; no se retiene nada a la espera de una factura final y nada cambia de manos al terminar. Las claves y todo el historial de versiones permanecen con usted en todo momento, de modo que nunca hay nada que "recuperar" si finaliza una colaboración.

• El código reside en su control de versiones y su nube, bajo sus controles de acceso.
• El código y la propiedad intelectual son suyos desde el primer commit, no al realizar el pago final.
• Usamos tecnología común y bien soportada y documentamos sobre la marcha, para que sus propios ingenieros u otro socio puedan tomar el relevo sin complicaciones.
• Con gusto realizamos un traspaso estructurado cuando lo desee.

Confidencialidad y acuerdos de confidencialidad

Firmamos su acuerdo de confidencialidad antes de comenzar el alcance, y trabajamos dentro de sus controles de acceso y reglas de seguridad durante toda la colaboración.

• Firmamos su acuerdo de confidencialidad antes de compartir cualquier detalle confidencial.
• Trabajamos con los accesos de mínimo privilegio que usted concede, y solo durante el tiempo que el trabajo lo requiera.
• Las obligaciones de confidencialidad continúan tras el fin de la colaboración.

Cuestionarios de proveedores y de seguridad

No tenemos inconveniente en completar los cuestionarios de riesgo de proveedores y de seguridad que envían las organizaciones más grandes, y asociaremos nuestras prácticas a su marco de referencia cuando sea posible. Si tiene requisitos de cumplimiento concretos, plantéelos en la primera llamada y le daremos un sí o un no directo, en lugar de un quizás.

Para solicitar nuestras respuestas a un cuestionario, o para enviarnos el suyo, escriba a [email protected] o utilice nuestro formulario de contacto.

Prácticas de desarrollo seguro

La seguridad y las pruebas forman parte de cómo desarrollamos, no un paso añadido justo antes del lanzamiento. En nuestras colaboraciones aplicamos:

• Desarrollo alineado con OWASP — desarrollamos siguiendo guías de seguridad web ampliamente reconocidas.
• Pruebas automatizadas — pruebas unitarias y de extremo a extremo (por ejemplo, Vitest y Playwright) y comprobaciones de accesibilidad (axe-core) en el pipeline.
• Análisis estático — análisis de calidad y seguridad del código (por ejemplo, SonarQube) como parte de la integración continua.
• Autenticación moderna — autenticación basada en estándares (por ejemplo, OAuth 2.0) y control de acceso basado en roles.
• Cifrado — datos cifrados en tránsito y en reposo.
• Registro apto para auditorías — registros significativos y pistas de auditoría cuando la aplicación lo requiere.
• Una revisión de seguridad definida — pruebas de escenarios normales y de fallo antes del lanzamiento.

Los controles exactos de cada proyecto se definen con usted desde el principio y se ajustan a la sensibilidad de los datos y los sistemas involucrados.

Tratamiento de datos e IA

Cuando desarrollamos en su nombre, actuamos como encargados del tratamiento: su política de privacidad rige el tratamiento y nuestro acuerdo con usted define nuestras obligaciones. Para las funciones que usan IA:

• Los sistemas se configuran para que sus datos no se usen para entrenar modelos públicos.
• La retención y las condiciones del proveedor se acuerdan por adelantado y por escrito.
• Los flujos de trabajo asistidos por IA se diseñan pensando en aprobaciones, registros de auditoría y recuperación.

Consulte nuestra Política de privacidad para saber cómo tratamos los datos personales, incluidas las transferencias internacionales, la retención y sus derechos.

Seguridad del sitio web

Este propio sitio web se sirve a través de HTTPS con un conjunto de medidas de refuerzo:

• HTTP Strict Transport Security (HSTS), incluidos los subdominios.
• Una Content-Security-Policy que restringe desde dónde pueden cargarse scripts, estilos y marcos.
• X-Content-Type-Options: nosniff y X-Frame-Options: SAMEORIGIN.
• Referrer-Policy: strict-origin-when-cross-origin.
• A Permissions-Policy que deniega la geolocalización, la cámara, el micrófono y el pago de forma predeterminada.
• Todas las solicitudes HTTP se actualizan a HTTPS.

Postura de cumplimiento

Desarrollamos para estar Listo para GDPR y podemos desarrollar para alinearnos con marcos como HIPAA cuando un proyecto lo requiere, trabajando dentro de sus controles y normas de cumplimiento.

Somos deliberadamente claros sobre lo que esto significa: un desarrollo no hace por sí solo que una organización cumpla la normativa o esté certificada. CYBERCUBE Software no cuenta actualmente con una certificación formal como SOC 2 o ISO 27001. Lo que ofrecemos es ingeniería alineada con estándares reconocidos, respuestas honestas en su cuestionario y la disposición de trabajar dentro de los controles que define su propio programa de cumplimiento.

Cómo reportar una vulnerabilidad

Si cree que ha encontrado una vulnerabilidad de seguridad en este sitio web o en software que operamos, háganoslo saber. Escriba a [email protected] con suficiente detalle para reproducir el problema. Nuestros datos de contacto legibles por máquina están publicados en /.well-known/security.txt.

Concédanos una oportunidad razonable para investigar y corregir antes de cualquier divulgación pública. Confirmaremos la recepción de los informes legítimos y le mantendremos al tanto de nuestro progreso. No emprendemos acciones contra quienes investigan de buena fe y evitan vulnerar la privacidad, destruir datos e interrumpir el servicio.