MEDIDAS TÉCNICAS Y ORGANIZATIVAS (TOM) Y CONTINUIDAD

La gobernanza incluye responsable, inventario de activos/flujos, clasificación, riesgos, políticas, revisiones y excepciones con caducidad. Se mapea a RGPD, contratos y posible Ley checa 264/2025; usar Cloudflare no demuestra por sí solo cumplimiento.

Identity-first: cuentas únicas, MFA en roles privilegiados, mínimo privilegio, separación owner/CTO/CFO/COO y delegados, alcance tenant/proyecto, aprobación, recertificación y baja inmediata. Acciones privilegiadas se registran y cambios críticos usan doble control cuando proceda.

Los datos en tránsito usan TLS moderno y D1/R2 gestionado debe cifrarse en reposo por proveedor. Secretos no están en código ni navegador, usan almacén gestionado y rotación. Claves, algoritmos, jurisdicción y cobertura se acreditarán antes de afirmar al cliente.

Las aplicaciones aplican autorización servidor, aislamiento, validación, límites de archivo, nombres/rutas seguros, permisos de descarga/borrado, protección CSRF/XSS/inyección/SSRF y fallo cerrado. Cargas tienen checksum, tipo, escaneo o cuarentena según riesgo y evento auditado.

El desarrollo aplica control de cambios, revisión, pruebas automáticas, escaneo de dependencias y secretos, separación de entornos, acceso productivo mínimo y versión de reversión. Las vulnerabilidades se clasifican por riesgo con objetivos internos de corrección. Solo se publican pruebas de penetración o certificaciones realmente realizadas y acreditables.

Los logs cubren autenticación, roles, lecturas/descargas sensibles, carga, borrado, exportación, invitaciones, traspaso, ajustes y administración. Minimizan contenido/datos, son resistentes, sincronizados, limitados, retenidos y alertados. Sentinels no almacenan contenido documental.

Las copias están separadas, restringidas, cifradas, monitorizadas y se prueban mediante restauración según el servicio. Los RPO y RTO vinculantes constan en la Orden o SLA; sin ello no se garantiza públicamente un tiempo concreto. La mera existencia de copia no demuestra recuperación sin prueba y responsable.

La respuesta incluye clasificación, recepción 24/7 de alertas críticas, roles, escalado, pruebas, contención, recuperación, evaluación jurídica, comunicación y mejora. Cada incidente tiene cronología y dueño. El contacto es info@houseid.cz hasta publicar canal especializado.

La continuidad define servicios críticos, dependencias, alternativas manuales, comunicación, orden de recuperación y pruebas. Rutas clave: lead/email, invitación, acceso, caso sales, traspaso, carga/descarga/borrado/exportación, avisos, asesor y PDF. Sentinels usan datos sintéticos y escalan fallos.

Antes de contratar se evalúan seguridad, privacidad, ubicación, transferencias, continuidad, subencargados, auditoría y salida. Contratos cubren confidencialidad, incidentes, devolución/eliminación, auditoría y garantías. Se retira acceso al terminar y se revisan entidad, DPA, certificaciones y cambios cada año.