Seguridad en SKØØLSKILL

La seguridad es una prioridad de primer nivel en SKØØLSKILL, no una ocurrencia tardía. La mayoría de nuestros usuarios son estudiantes que nos confían sus apuntes, sus hábitos de estudio y un registro cada vez mayor de lo que les resulta difícil. Asumimos esa responsabilidad con seriedad y diseñamos el Servicio de modo que la opción segura sea también la más fácil.

Seguimos los principios de mínimo privilegio, defensa en profundidad y minimización de datos: recopilamos solo lo que el Servicio necesita, limitamos quién y qué puede acceder a ello, y partimos de la base de que cualquier control aislado puede fallar, por lo que añadimos otros por detrás.

SKØØLSKILL se ejecuta en servidores Linux reforzados, alojados dentro de la Unión Europea. Los sistemas de producción están aislados de los entornos de desarrollo y de pruebas, y el acceso administrativo está restringido a un perímetro de red protegido por un proxy con autenticación.

• Las bases de datos de producción no están expuestas a la red pública.
• Los procesos en segundo plano (escaneo de apuntes, procesamiento de IA, correo electrónico) se ejecutan en niveles separados, de modo que un pico en uno no pueda dejar sin recursos a los demás.
• Los secretos y las credenciales se almacenan fuera del control de versiones y se inyectan en tiempo de ejecución.

Todo el tráfico entre tu dispositivo y SKØØLSKILL se cifra con TLS 1.2+. Imponemos HTTPS en todas partes y aplicamos una Content-Security-Policy estricta para limitar lo que puede ejecutarse en tu navegador.

Los datos están cifrados en reposo, incluido el registro de tu cuenta, los apuntes que escaneas y los archivos adjuntos almacenados en nuestro almacén de objetos. Las contraseñas nunca se guardan en texto plano: se cifran con un algoritmo moderno y con sal.

El acceso a los datos de producción se limita a un reducido número de personas autorizadas y se concede estrictamente según la necesidad de conocer. Utilizamos controles de acceso basados en roles dentro de la aplicación, y seguridad a nivel de fila en la base de datos, de modo que una cuenta nunca pueda leer los datos de otra.

• Las acciones administrativas quedan registradas y son auditables.
• El acceso del personal utiliza autenticación robusta y se revoca con prontitud cuando deja de ser necesario.
• Separamos los datos de cada cuenta de aprendizaje en la capa de base de datos.

Desarrollamos sobre una pila moderna y mantenida activamente, y mantenemos las dependencias actualizadas. Nuestras prácticas de desarrollo incluyen revisión de código, comprobaciones automatizadas y protecciones frente a vulnerabilidades web habituales como el cross-site scripting (XSS), la falsificación de petición en sitios cruzados (CSRF) y la inyección.

La autenticación y la gestión de sesiones las maneja un framework verificado en lugar de código propio improvisado, y las operaciones sensibles requieren una nueva verificación.

SKØØLSKILL utiliza la IA para leer tus apuntes, generar práctica y dar vida a nuestro tutor, Nova. Este procesamiento se realiza para prestarte el Servicio, y solo para eso.

• No utilizamos tu contenido para entrenar modelos de IA, ni los nuestros ni los de nadie.
• Nuestros proveedores de IA están obligados por contrato a no conservar ni entrenar con los datos enviados a través de sus API.
• Puedes eliminar tus apuntes y tu contenido en cualquier momento, y nosotros eliminamos los datos asociados.

Realizamos copias de seguridad periódicas y cifradas para poder recuperarnos de fallos de hardware o pérdidas accidentales. Las copias se conservan durante un periodo limitado y están sujetas a los mismos controles de acceso que los datos de producción. Comprobamos periódicamente nuestra capacidad de restaurarlas.

Monitorizamos nuestros sistemas de forma continua en busca de errores, anomalías y abusos. Los errores de la aplicación y los eventos relevantes para la seguridad se registran y se revisan.

Si tenemos conocimiento de un incidente de seguridad que afecte a tus datos personales, lo investigaremos, lo contendremos y notificaremos a los usuarios afectados y a las autoridades correspondientes cuando la ley lo exija, conforme a nuestra Política de Privacidad.

Los pagos los procesa Stripe, un proveedor con certificación PCI-DSS Nivel 1. Nunca vemos ni almacenamos el número completo de tu tarjeta: los datos de la tarjeta se envían directamente a Stripe y se tokenizan. SKØØLSKILL solo conserva una referencia y los metadatos mínimos de facturación necesarios para gestionar tu suscripción.

Agradecemos a los investigadores de seguridad que ayudan a mantener SKØØLSKILL a salvo. Si crees que has encontrado una vulnerabilidad, escríbenos a [email protected] con suficiente detalle para que podamos reproducirla.

Si actúas de buena fe conforme a esta política, no emprenderemos acciones legales contra ti por tu investigación.

4cs BV está establecida en Bélgica y trata los datos personales conforme al Reglamento General de Protección de Datos (RGPD) de la UE. Para conocer los detalles de qué recopilamos, por qué y cuáles son tus derechos, consulta nuestra Política de Privacidad. Elegimos subencargados que ofrecen sólidas garantías de seguridad y protección de datos.

Para cuestiones de seguridad o para informar de una vulnerabilidad: