Seguridad

Estado

Licia no tiene certificación ENS ni ISO 27001. Lo que publicamos aquí es una autoevaluación propia frente a las medidas del Esquema Nacional de Seguridad en la categoría básica: no es una certificación ni una declaración de conformidad, y con medidas pendientes no podría serlo. Las categorías media y alta exigen una auditoría de una entidad acreditada, que no hemos hecho.

De 33 medidas revisadas: 14 aplicadas, 12 en parte, 3 a cargo del proveedor de la infraestructura y 4 pendientes.

Cuestionario de seguridad

¿Dónde se alojan y se procesan los datos?

Vercel Inc.: Reino Unido (Londres); empresa con sede en EE. UU.; Supabase Inc.: Reino Unido (Londres, región eu-west-2); Google Cloud (Google LLC): EE. UU. (Iowa, región us-central1). Los proveedores de modelos de lenguaje y lo que hace cada uno con lo que recibe están en la lista de subencargados. Subencargados

¿Qué medidas técnicas y organizativas aplicáis?

Las del Anexo II del encargo del tratamiento, que se generan del código que las aplica; las repetimos más abajo. Encargo del tratamiento, Anexo II

¿Cifráis los datos?

En tránsito, siempre: HTTPS con HSTS. En reposo, la base de datos y el almacenamiento los cifra el proveedor (Supabase), según su documentación.

¿Cómo se controla el acceso?

Usuario propio por persona, papeles por empresa, verificación en dos pasos opcional, bloqueo tras intentos fallidos y comprobación del acceso en cada petición.

¿Qué pasa si hay una brecha de seguridad?

Os avisamos en 48 horas desde que la conozcamos, con lo que sepamos, como dice el apartado 9 del encargo del tratamiento. Encargo del tratamiento

¿Cómo se avisa de una vulnerabilidad?

Escribiendo a soporte@licia.es; respondemos en un día hábil como máximo. Está también en el archivo security.txt. security.txt

¿Hay copias de seguridad?

Sí, diarias, del proveedor de la base de datos, que las conserva 7 días.

¿Usáis nuestros datos para entrenar modelos?

Licia no entrena ni ajusta ningún modelo con tus datos. Lo que pueda hacer cada proveedor de modelos lo dicen sus condiciones, citadas en la lista de subencargados. Subencargados · Cumplimiento: Reglamento de IA y RGPD

¿Tenéis certificación ENS o ISO 27001?

No. Publicamos la autoevaluación frente al ENS de esta página, en la categoría básica, con las medidas que faltan. No es una certificación ni una declaración de conformidad; las categorías media y alta exigen una auditoría de una entidad acreditada, que no hemos hecho.

¿Podéis firmar un encargo del tratamiento?

Ya está publicado y forma parte de las condiciones de contratación; lo aceptáis al contratar. Encargo del tratamiento · Condiciones

Medidas técnicas y organizativas

Las mismas del Anexo II del encargo del tratamiento, que se generan del código que aplica cada una.

Cifrado y comunicaciones

• Toda la comunicación con la aplicación, la API y el conector se hace por HTTPS, con HSTS de un año que incluye los subdominios, una política de seguridad de contenidos (CSP) que limita desde dónde se carga código y la prohibición de mostrar la aplicación dentro de otra página (X-Frame-Options).
• La base de datos y el almacenamiento de archivos los cifra en reposo el proveedor (Supabase), según su documentación.

Control de acceso

• Las contraseñas se guardan como derivación PBKDF2-SHA256 con sal propia y 240.000 iteraciones, nunca en claro.
• La sesión viaja en una cookie firmada con HMAC-SHA256, HttpOnly, con SameSite=Lax y solo por HTTPS (Secure), que caduca a las 72 horas.
• Cada sesión está ligada a un contador de su cuenta: cambiar la contraseña, usar un enlace de recuperación o bloquear la cuenta cierra todas las demás sesiones abiertas.
• Tras 5 contraseñas incorrectas seguidas para un mismo usuario se rechazan los intentos durante 15 minutos.
• La recuperación de la contraseña es un enlace de un solo uso que caduca a la hora; nunca se envía una contraseña por correo.
• Cada persona puede activar la verificación en dos pasos (un código de su aplicación de autenticación además de la contraseña); su clave se guarda cifrada y sus códigos de recuperación, como resumen. Tras 5 códigos incorrectos seguidos el segundo paso se bloquea 15 minutos.
• Cada persona ve los navegadores donde tiene la sesión iniciada y puede cerrar cualquiera de ellos, o todos menos el que usa.
• Cada persona tiene su propio usuario y un papel en cada empresa (propietario, editor o lector); las funciones de administración solo están disponibles para el personal de Licia con ese permiso.

Aislamiento entre clientes

• Cada documento, análisis, borrador y registro pertenece a una empresa, y la aplicación comprueba en cada petición que quien la hace es su propietario o tiene un puesto en ella; las acciones que cambian algo comprueban además que su papel lo permite.
• Las claves de la API se guardan como resumen SHA-256, se muestran una sola vez y se revocan desde la cuenta.
• Las direcciones de los webhooks (Slack, Teams y los de la propia empresa) y su secreto de firma se tratan como credenciales: se enmascaran en los registros y no salen en ninguna exportación.

Registro y trazabilidad

• Cada cambio en el embudo de una licitación queda en un registro que solo se amplía, con quién lo hizo y cuándo.
• El registro de uso de la plataforma (accesos y acciones, sin el contenido de lo consultado) se borra a los 90 días.
• La aceptación de las condiciones de contratación (versión y momento) se guarda con el pago, en Stripe.

Disponibilidad y supresión

• El proveedor de la base de datos hace una copia de seguridad diaria y la conserva 7 días; después se elimina por rotación.
• Al borrar un documento del archivo se borra primero el archivo del almacenamiento y después su ficha: si el almacenamiento no confirma el borrado, la ficha se queda y se avisa, para que «borrado» nunca signifique «sigue ahí».

Minimización frente a los modelos de lenguaje

• Al modelo se envían los fragmentos del pliego que hacen falta y el perfil de la empresa tal como lo ha rellenado; nunca las credenciales ni los documentos del archivo.
• Licia no entrena ni ajusta ningún modelo con tus datos. Lo que cada proveedor de modelos puede hacer con lo que recibe lo dicen sus condiciones, recogidas en el Anexo III.

Organizativas

• El acceso a los sistemas de producción está limitado al titular, con verificación en dos pasos en los paneles de Vercel, Supabase, Stripe y Google Cloud.
• Hoy solo el titular accede a los datos de los clientes; cualquier persona que llegue a hacerlo por cuenta de Licia lo hará con un compromiso escrito de confidencialidad.
• La gestión de un incidente y la notificación de una brecha siguen el apartado 9 de este encargo.

Autoevaluación frente al ENS, categoría básica

Recorremos las medidas del Anexo II que tienen sentido para un servicio en la nube como Licia, agrupadas como las agrupa el propio Esquema. La norma es el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Las medidas marcadas como «en el proveedor» son las de los centros de datos donde corre Licia, y las que dependen de nuestra palabra y no del código lo dicen.

Autoevaluación del equipo de Licia sobre el código del servicio y su infraestructura documentada, medida por medida. No la ha revisado nadie de fuera. Hecha el 14 de octubre de 2026. Si contratar Licia depende de una certificación ENS o de una auditoría, escríbenos: la decisión de hacerla es nuestra y queremos saber quién la necesita.

Cómo avisar de un problema

Escribe a soporte@licia.es con lo que has encontrado y no lo publiques hasta que lo hayamos corregido. Está también en security.txt.

Volver al índice