Tu confianza, nuestro compromiso

🔒 1. Seguridad de los datos

Cifrado

Ubicación de los datos

Backups y restauración

RPO (Recovery Point Objective) = máxima pérdida tolerable de datos. RTO (Recovery Time Objective) = tiempo máximo de restauración. Valores indicativos basados en infraestructura actual IBM Cloud.

Aislamiento multi-tenant

APLIUM Label es una arquitectura SaaS multi-tenant con aislamiento lógico a nivel de fila (empresa_id en todas las tablas operativas). Cada query operacional se filtra obligatoriamente por empresa_id; las consultas cross-tenant están restringidas al rol de superadministrador interno y auditadas.

Tests de seguridad

Realizamos revisión de seguridad continua mediante:

• Escaneo de dependencias en cada despliegue (composer audit).
• Revisión manual de código para cambios sensibles (autenticación, pagos, exportación de datos).
• Tests de penetración externos: en evaluación para 2026.

Resúmenes ejecutivos de tests pasados disponibles bajo NDA para clientes Enterprise (contacta a aplium@aplium.com).

📋 2. Privacidad y GDPR

Rol de APLIUM en el tratamiento de datos

DPA — Data Processing Agreement

Ponemos a disposición de cualquier cliente un Acuerdo de Tratamiento de Datos conforme al art. 28 RGPD. Está disponible en formato HTML legible y PDF descargable, e incluye:

• Objeto, duración, naturaleza y finalidad del tratamiento.
• Tipo de datos personales tratados y categorías de interesados.
• Obligaciones del encargado (confidencialidad, medidas técnicas y organizativas, asistencia ante DSAR y brechas).
• Lista de subprocesadores autorizados.
• Cláusulas tipo (SCC) para transferencias internacionales (no aplican hoy — todos los datos en UE).

→ Consultar DPA completo

Subprocesadores

Solo trabajamos con proveedores que ofrecen garantías suficientes en cumplimiento del RGPD. Mantenemos una lista pública y actualizada de subprocesadores, junto con su ubicación y salvaguardas contractuales.

→ Lista completa de subprocesadores

Derechos del interesado (DSAR)

Cualquier persona física cuyos datos sean tratados por APLIUM puede ejercer sus derechos GDPR (acceso, rectificación, supresión, limitación, oposición y portabilidad) escribiendo a aplium@aplium.com. Plazo de respuesta: 30 días naturales (RGPD art. 12.3).

Notificación de brechas

En caso de brecha de seguridad que afecte a datos personales, notificaremos a los clientes afectados en un plazo máximo de 72 horas desde el momento en que tengamos constancia, conforme al art. 33 RGPD. La notificación incluirá: naturaleza de la brecha, categorías y volumen aproximado de datos afectados, medidas adoptadas y de mitigación.

DPO — Delegado de Protección de Datos

APLIUM Aplicaciones Telemáticas, S.L.U. es PYME y, conforme al art. 37 RGPD, no está obligada a designar un DPO formal. No obstante, gestionamos las cuestiones de privacidad centralizadas en aplium@aplium.com.

→ Política de Privacidad completa

⚡ 3. Continuidad y disponibilidad

SLA por plan contratado

Cada plan tiene un SLA específico de disponibilidad, ventanas de mantenimiento y tiempos de respuesta de soporte. Los créditos por incumplimiento están definidos por contrato.

→ Consultar SLA completo por tier

Status page

Estamos preparando una página pública de estado en tiempo real (status.aplium.com) que mostrará el uptime histórico por componente y los mantenimientos programados. Próximamente.

Mientras tanto, los incidentes relevantes se comunican por email a los administradores de las empresas clientes y desde el banner superior del panel.

Plan de continuidad

APLIUM cuenta con un plan de continuidad básico basado en:

• Infraestructura redundante de IBM Cloud (alta disponibilidad de instancia + servicios gestionados).
• Backups diarios automáticos en zona de disponibilidad separada.
• Runbooks de recuperación documentados para incidentes principales (caída de DB, caída de aplicación, brecha de seguridad).
• Contactos de escalado 24/7 para clientes con plan Enterprise.

📜 4. Cumplimiento y marcos sectoriales

Hemos diseñado APLIUM Label desde el primer día para alinearse con los marcos regulatorios europeos y los estándares de la industria alimentaria. A continuación, el estado real y honesto de cada uno:

Última actualización del estado de cumplimiento: 15 mayo 2026. Revisamos este apartado trimestralmente o con cada cambio normativo relevante.

🐛 5. Reporte responsable de vulnerabilidades

Si has descubierto una vulnerabilidad de seguridad en APLIUM Label, agradecemos un reporte responsable que nos permita corregirla antes de que se haga pública.

Política de divulgación coordinada

• Acusamos recibo en 48 horas laborables.
• Confirmación o descarte de la vulnerabilidad en 5 días laborables.
• Plazo de corrección objetivo: 90 días desde el reporte para vulnerabilidades de severidad alta o crítica.
• Tras la corrección, podemos publicar un agradecimiento (con tu consentimiento) en una sección de reconocimientos futura.

Fuera del alcance

• Ataques de denegación de servicio (DoS / DDoS).
• Ingeniería social o phishing al personal de APLIUM.
• Vulnerabilidades en infraestructura de terceros no gestionada por APLIUM (IBM Cloud, Stripe, Redsys, navegadores).
• Issues en versiones obsoletas no soportadas.

📨 6. Contacto del equipo de seguridad

También puedes solicitar:

• DPA personalizado (Enterprise/Corporate).
• Resumen ejecutivo de seguridad bajo NDA.
• Cuestionario de seguridad (CAIQ-style) para tu proceso de procurement.
• Demo técnica con tu equipo de IT/security.