Seguridad y Protección de Datos

1. Infraestructura europea

La infraestructura principal de ScoringMy está alojada en Hetzner Online GmbH, en Alemania, dentro del Espacio Económico Europeo (EEE).

La plataforma opera sobre un entorno de servidor dedicado que aloja los principales componentes de la aplicación, incluyendo backend, frontend y base de datos.

2. Seguridad de red y comunicaciones

ScoringMy utiliza conexiones HTTPS/TLS para proteger las comunicaciones entre los usuarios y la plataforma.

Cloudflare se utiliza como capa de proxy inverso y protección del tráfico. Las comunicaciones con servicios externos se realizan desde los sistemas backend mediante conexiones API protegidas. Las credenciales de acceso a servicios externos no se exponen al navegador del usuario.

Las funcionalidades de inteligencia artificial también se integran mediante llamadas server-side. Para conocer qué proveedores de IA utiliza ScoringMy y qué información recibe cada uno, consulta nuestra página de Uso de IA y Transparencia.

3. Control de acceso

El acceso a ScoringMy requiere autenticación. Los permisos se gestionan a nivel de aplicación mediante controles de acceso basados en roles y están diseñados para limitar el acceso a la información y funcionalidades correspondientes a cada usuario y organización.

El acceso administrativo a la infraestructura de producción está restringido a personal autorizado y se aplica el principio de mínimo privilegio.

4. Monitorización y registro

ScoringMy mantiene mecanismos de logging y monitorización para facilitar la detección de anomalías, la investigación de incidencias, el diagnóstico técnico y la protección de la integridad de los sistemas.

La plataforma utiliza herramientas de observabilidad y monitorización técnica, incluyendo New Relic.

5. Copias de seguridad y recuperación

ScoringMy mantiene procedimientos automatizados de backup destinados a reducir el riesgo de pérdida de información y facilitar la recuperación del servicio.

Se realizan copias de seguridad diarias dentro del entorno de hosting, manteniendo múltiples puntos de recuperación rotativos y controles de acceso sobre las copias.

6. Gestión de vulnerabilidades

ScoringMy mantiene procedimientos de gestión de vulnerabilidades que incluyen actualización de dependencias, monitorización de vulnerabilidades conocidas y aplicación de parches de seguridad cuando resulta necesario.

7. Gestión de incidentes

En caso de incidente de seguridad, ScoringMy aplica procedimientos de investigación, contención y mitigación.

8. Privacidad y protección de datos

Datos tratados

ScoringMy trata principalmente información de carácter profesional necesaria para proporcionar las funcionalidades de la plataforma. Dependiendo del servicio utilizado, esta información puede incluir nombre y apellidos, correo electrónico profesional, cargo, empresa u organización, URL de perfil profesional público y métricas de presencia digital profesional.

Origen de los datos

Los datos pueden proceder del propio usuario, de la empresa cliente en el contexto de un programa profesional o de información profesional disponible en fuentes de acceso público.

Roles de protección de datos

PeopleXBrand Aceleradora S.L. puede actuar como Responsable o Encargado del Tratamiento dependiendo del contexto concreto en el que se utilice ScoringMy. Cuando procesa datos por cuenta de una empresa cliente, las condiciones correspondientes se regulan mediante el Acuerdo de Encargo de Tratamiento (DPA).

Principios aplicados

ScoringMy aplica principios de limitación de finalidad, minimización de datos, control de acceso y confidencialidad. La plataforma no está diseñada para tratar categorías especiales de datos personales y los usuarios deben evitar introducir información sensible o confidencial que no sea necesaria para la finalidad del servicio.

9. Proveedores tecnológicos

ScoringMy utiliza proveedores tecnológicos especializados para operar la plataforma. La relación entre cada proveedor y el tratamiento de datos personales se determina conforme a la funcionalidad contratada, los datos efectivamente tratados y la normativa aplicable.

Proveedor	Finalidad	Información relevante
Hetzner Online GmbH	Hosting e infraestructura principal	Alemania / EEE
Cloudflare	Proxy inverso, protección del tráfico y seguridad de red	Infraestructura de seguridad
Brevo (Sendinblue)	Correo electrónico transaccional	Comunicaciones del servicio
New Relic	Monitorización técnica y observabilidad	Diagnóstico y operación

Los proveedores relacionados específicamente con funcionalidades de inteligencia artificial se detallan en la página Uso de IA y Transparencia.

10. Documentación de seguridad

Documentación disponible para conocer con mayor detalle las medidas de seguridad y protección de datos de ScoringMy:

10.1. Security & Data Protection Summary

Resumen ejecutivo de arquitectura, tratamiento de datos y medidas de seguridad.

1. Descripción del servicio

ScoringMy es una plataforma SaaS desarrollada por PeopleXBrand Aceleradora S.L. para visualizar y analizar la presencia profesional digital, generar métricas e indicadores y asistir a profesionales y organizaciones en la mejora de su posicionamiento y comunicación profesional.

• visualización de datos y métricas profesionales
• recomendaciones de mejora y benchmarking profesional
• análisis agregado de presencia digital en equipos
• generación asistida de contenidos de texto e imágenes
• análisis semántico de publicaciones profesionales.

2. Naturaleza y origen de los datos

ScoringMy trata datos de carácter profesional necesarios para prestar el servicio, como nombre, correo electrónico, cargo, organización, URL de perfil profesional público y métricas de presencia digital. La plataforma no está diseñada para tratar categorías especiales de datos personales.

Los datos pueden proceder del usuario, de la empresa cliente en el marco del servicio y de información profesional publicada en fuentes de acceso público.

3. Infraestructura y seguridad

La infraestructura principal de ScoringMy se aloja en Hetzner Online GmbH, Alemania (EEE). ScoringMy aplica controles de acceso, comunicaciones cifradas HTTPS/TLS, gestión segura de credenciales, monitorización, copias de seguridad y segregación lógica de datos por cliente.

4. Uso de inteligencia artificial

ScoringMy integra servicios de inteligencia artificial de terceros mediante API. Cada proveedor se utiliza para una finalidad diferenciada:

• Anthropic (Claude): generación y adaptación de contenidos profesionales en formato texto.
• Google (Gemini): generación de imágenes relacionadas con el contenido textual de un post.
• OpenAI: análisis semántico del texto de publicaciones profesionales.

Para Claude, el contexto puede incluir información aportada opcionalmente por el usuario sobre posicionamiento, temáticas, enfoques, keywords, estilo de comunicación, idioma y propuesta de valor, así como, cuando proceda, líneas rojas de comunicación definidas por la empresa cliente.

Para Gemini, se utiliza como contexto el contenido textual del post con el fin de generar una imagen coherente con dicho contenido.

Para OpenAI, se envía únicamente el texto del post objeto de análisis, sin nombre del empleado, correo electrónico, URL de perfil, autor u otros metadatos identificativos asociados. El análisis puede utilizarse para categorizar publicaciones, identificar referencias a la empresa, evaluar su adecuación a líneas rojas de comunicación y clasificarlas dentro de los territorios de comunicación definidos por el cliente.

La información remitida a proveedores de IA se limita a la necesaria para la funcionalidad correspondiente, aplicando criterios de minimización. Las comunicaciones con dichos proveedores se realizan desde el backend mediante conexiones API cifradas.

5. Supervisión humana y analítica

Los contenidos de texto e imágenes generados mediante IA son asistidos y editables. ScoringMy no publica automáticamente contenido en nombre del usuario. La decisión final de utilizar o publicar un contenido corresponde al usuario.

Los resultados del análisis semántico son indicadores de apoyo para el análisis de comunicación. No están diseñados para adoptar decisiones automatizadas con efectos jurídicos o similares sobre empleados ni para evaluar automáticamente su desempeño laboral.

6. Proveedores tecnológicos y protección de datos

ScoringMy utiliza proveedores tecnológicos para hosting, comunicaciones y funcionalidades de IA. Cuando un proveedor trate datos personales por cuenta de PeopleXBrand o del Cliente, su tratamiento se regirá por las condiciones contractuales y mecanismos de protección de datos aplicables. El detalle actualizado de subencargados y proveedores se mantiene en la documentación contractual y/o Trust Center.

7. Retención, derechos y contacto

Los datos personales se conservan durante el tiempo necesario para prestar el servicio y conforme a las obligaciones contractuales o legales aplicables. Los interesados pueden ejercer los derechos previstos en el RGPD a través de legal @scoringmy. com.

10.2. Security Architecture & Data Protection Whitepaper

Descripción de infraestructura, controles de seguridad, acceso, comunicaciones, monitorización y protección de datos.

1. Introducción

Este documento describe la arquitectura de seguridad, los controles de infraestructura y las medidas de protección de datos implementadas en ScoringMy, incluida la integración segura de servicios de IA de terceros.

2. Infraestructura y seguridad de red

ScoringMy está alojado en un entorno de servidor dedicado proporcionado por Hetzner Online GmbH en Alemania. Dicho entorno aloja el backend de la aplicación, el frontend y la base de datos. Las integraciones de IA externas se invocan desde el servidor; las credenciales de API no se exponen al navegador del usuario.

• comunicaciones de usuario protegidas mediante HTTPS/TLS
• llamadas API seguras a servicios externos ejecutadas en servidor
• segregación lógica a nivel de aplicación entre entornos de cliente
• acceso autenticado y principio de mínimo privilegio para el acceso a producción.

3. Seguridad de la integración con IA

ScoringMy integra servicios de IA de terceros mediante llamadas API controladas desde el backend. Los proveedores actuales y sus finalidades son:

• Anthropic Claude: generación y adaptación de texto profesional.
• Google Gemini: generación de imágenes a partir del contenido textual de un post.
• OpenAI: análisis semántico del texto de publicaciones para analítica de comunicación.

Para Claude, el backend puede incluir contexto profesional y de comunicación aportado por el usuario, como objetivos de posicionamiento, temáticas, enfoques, keywords, estilo de comunicación, idioma y propuesta de valor, junto con líneas rojas de comunicación opcionales definidas por el cliente.

Para Gemini, la entrada se deriva del contenido textual del post, de modo que la imagen generada sea relevante para dicho contenido.

Para el análisis semántico con OpenAI, ScoringMy envía únicamente el texto del post analizado. El nombre del empleado, la dirección de correo electrónico, la URL de perfil, la identidad del autor y otros metadatos identificativos asociados no se envían como parte de esa solicitud de análisis.

4. Finalidad del análisis semántico

El análisis semántico asistido por OpenAI puede utilizarse para clasificar publicaciones en categorías de comunicación (incluyendo empresarial, personal, formativa o informativa), identificar si un post hace referencia a la empresa, evaluar su alineación con las líneas rojas de comunicación definidas por el cliente y clasificar el contenido frente a los territorios de comunicación definidos por el cliente.

Los indicadores resultantes sirven de apoyo a la analítica de comunicación. No están diseñados para adoptar decisiones automatizadas con efectos jurídicos o similarmente significativos sobre las personas, ni se conciben como evaluaciones automatizadas del desempeño de los empleados.

5. Minimización de datos y confidencialidad

ScoringMy aplica limitación de finalidad y minimización de datos a las peticiones de IA. La información enviada varía según la funcionalidad y se limita al contexto necesario para realizar la operación solicitada. Se instruye a los usuarios para que no introduzcan datos personales sensibles ni información confidencial innecesaria en las funcionalidades asistidas por IA.

6. Supervisión humana

Los textos e imágenes generados son resultados asistivos. Los usuarios pueden revisar y, cuando proceda, editar el contenido generado antes de su uso externo. ScoringMy no publica automáticamente contenido generado mediante IA en nombre de los usuarios.

7. Almacenamiento, monitorización y fiabilidad

Los datos de la plataforma y los resultados de IA guardados se almacenan dentro del entorno de ScoringMy conforme a la funcionalidad del producto y a las reglas contractuales de retención. La actividad del sistema se registra con fines de monitorización, resolución de incidencias y seguridad. Se mantienen procedimientos de copia de seguridad y recuperación para reducir el riesgo de pérdida de datos.

8. Posición de cumplimiento

ScoringMy no desarrolla, entrena ni distribuye modelos fundacionales. Opera como una capa de aplicación habilitada con IA que integra servicios de terceros. Sus funcionalidades asistidas por IA están diseñadas con supervisión humana, transparencia, limitación de finalidad y minimización de datos. La clasificación jurídica y las obligaciones aplicables se evalúan conforme al uso previsto real y al contexto de despliegue.

10.3. Security Processes Overview

Descripción de los principales procesos operativos de seguridad.

1. Registro y monitorización

La plataforma implementa registro y monitorización centralizados mediante New Relic.

• Alcance: se monitorizan de forma continua la actividad de la aplicación, el rendimiento del sistema, las operaciones de base de datos y los errores.
• Retención: los registros se conservan en la plataforma de monitorización conforme a sus políticas de configuración estándar.
• Revisión: los registros y los cuadros de mando de monitorización se revisan periódicamente para identificar anomalías, problemas de rendimiento o posibles eventos de seguridad.
• Alertas: las herramientas de monitorización permiten detectar patrones anómalos y facilitan una investigación y respuesta oportunas cuando es necesario.

2. Modelo de control de accesos

La plataforma implementa control de acceso basado en roles (RBAC) con lógica de autorización centralizada.

• Roles: Admin, con acceso completo a las funcionalidades de la plataforma, incluida la gestión de usuarios y la configuración del sistema; Empleado, con acceso restringido limitado a sus datos personales y a funcionalidades específicas.
• Autenticación: el acceso a la plataforma está restringido a usuarios autenticados. El acceso administrativo está limitado a personal autorizado.
• Alta y baja de usuarios: el acceso se concede en función de las necesidades de negocio y puede modificarse o revocarse en cualquier momento.
• Modelo de autorización: los permisos se definen de forma centralizada y se aplican a nivel de backend mediante un sistema de autorización compartido, lo que garantiza un control de acceso coherente en todos los módulos.

3. Copias de seguridad y recuperación

La plataforma realiza copias de seguridad automatizadas del entorno de producción utilizando la infraestructura de Hetzner.

• Frecuencia: las copias se ejecutan diariamente.
• Retención: se mantienen múltiples versiones de copia, lo que proporciona varios puntos de recuperación.
• Almacenamiento: las copias se almacenan separadas del entorno de producción.
• Capacidad de restauración: el sistema puede restaurarse a partir de las copias en caso de fallo del sistema, pérdida de datos u otros incidentes, garantizando la continuidad del negocio.

4. Gestión de vulnerabilidades

La plataforma implementa múltiples capas de protección para mitigar vulnerabilidades.

• Medidas preventivas: uso de Cloudflare para proteger frente a ataques web (WAF, DDoS, tráfico de bots) y actualización periódica de las dependencias de aplicación y los componentes de infraestructura.
• Detección: las herramientas de monitorización y registro ayudan a identificar anomalías o comportamientos inesperados.
• Respuesta: las incidencias identificadas se revisan y abordan como parte del mantenimiento y la mejora continua del sistema.

5. Arquitectura de alto nivel

La arquitectura de la plataforma se compone de los siguientes elementos:

• Cliente (navegador web)
• Cloudflare (proxy inverso, seguridad y capa de filtrado de tráfico)
• Backend de aplicación (infraestructura alojada)
• Sistemas de base de datos y almacenamiento

Todo el tráfico entrante se enruta a través de Cloudflare antes de alcanzar los servidores de aplicación, lo que evita la exposición directa de la infraestructura de origen y aporta una capa de seguridad adicional.

Todas las solicitudes externas se enrutan a través de Cloudflare, que actúa como proxy inverso y capa de seguridad, antes de llegar al backend de la aplicación. Esto garantiza que la infraestructura de origen no quede expuesta directamente a internet.

El backend procesa la lógica de aplicación y se comunica con la base de datos y la capa de almacenamiento, donde los datos se guardan de forma segura.

6. Cifrado y protección de datos

• Cifrado en tránsito: todas las comunicaciones se protegen mediante HTTPS (TLS 1.2/1.3), forzado a través de Cloudflare.
• Cifrado en reposo: los datos se almacenan utilizando la seguridad a nivel de infraestructura proporcionada por el proveedor de hosting.
• Segregación de datos: el acceso a los datos se restringe mediante permisos basados en roles, garantizando que los usuarios solo puedan acceder a su propia información. La separación lógica se aplica a nivel de aplicación mediante mecanismos de control de acceso.

10.4. Access Control Policy

Principios y procedimientos de control de acceso.

1. Objeto

Esta política define cómo se controla el acceso a la plataforma y a los datos.

2. Modelo de acceso

Control de Acceso Basado en Roles (RBAC). Los roles incluyen:

• Admin (acceso completo)
• Empleado (acceso restringido)

3. Autorización

• Los permisos se gestionan de forma centralizada.
• Se aplican de forma consistente en todos los módulos.

4. Autenticación

• Acceso restringido a usuarios autenticados.
• Acceso administrativo limitado a personal autorizado.

5. Ciclo de vida del usuario

• El acceso se concede en función de la necesidad de negocio.
• El acceso puede modificarse o revocarse en cualquier momento.

6. Principio de mínimo privilegio

Los usuarios acceden únicamente a los datos y funcionalidades necesarios para su rol.

10.5. Backup & Recovery Policy

Procedimientos de copia de seguridad y recuperación.

1. Objeto

Esta política define los procedimientos de copia de seguridad y recuperación implementados por ScoringMy para garantizar la disponibilidad e integridad de los datos y la continuidad del negocio en caso de fallo del sistema o pérdida de datos.

2. Ámbito de aplicación

Esta política se aplica a:

• Entorno de producción
• Datos de aplicación
• Configuraciones de sistema e infraestructura

3. Estrategia de copias

ScoringMy implementa procesos de copia de seguridad automatizados para garantizar que los datos se preservan de forma periódica y son recuperables.

3.1 Frecuencia

• Las copias completas se realizan diariamente.
• Los procesos de copia son automatizados y programados.

4. Almacenamiento y seguridad

• Las copias se almacenan de forma segura dentro de la infraestructura de hosting (Hetzner).
• El acceso a los sistemas de copia está restringido exclusivamente a personal autorizado.
• Los datos de copia están protegidos mediante controles de seguridad a nivel de infraestructura.
• Los sistemas de producción no están expuestos directamente al acceso público.
• Se almacenan separadas de los sistemas de producción.

5. Política de retención

• Las instantáneas de copia se retienen de forma rotativa.
• Se mantienen múltiples puntos de recuperación para dar flexibilidad a la restauración.
• El histórico de copias permite recuperar estados recientes del sistema.

6. Capacidad de recuperación

Las copias de ScoringMy permiten restaurar el sistema en caso de:

• Fallo de sistema
• Corrupción de datos
• Incidentes operativos
• Pérdida accidental de datos

Los procedimientos de recuperación permiten restaurar el entorno de aplicación y los datos asociados.

7. Control de accesos

• El acceso a las copias está limitado exclusivamente a personal técnico autorizado.
• El acceso se gestiona mediante mecanismos de autenticación segura.
• Los permisos siguen las políticas internas de control de accesos.

8. Monitorización y validación

• Los procesos de copia se monitorizan para garantizar su ejecución correcta.
• Los registros del sistema permiten verificar la actividad de copia.
• Cualquier incidencia detectada se revisa y aborda en consecuencia.

9. Mejora continua

ScoringMy revisa y mejora de forma continua sus procesos de copia para reforzar su fiabilidad y seguridad a medida que la plataforma evoluciona.

10.6. Security Testing & Vulnerability Management Policy

Gestión de vulnerabilidades, actualizaciones y pruebas de seguridad.

1. Objeto

Esta política define cómo ScoringMy identifica, mitiga y gestiona las vulnerabilidades de seguridad.

2. Enfoque de seguridad

La seguridad se implementa mediante un modelo por capas que incluye:

• Protección de Cloudflare: firewall de aplicaciones web (WAF), mitigación de DDoS y filtrado de tráfico.
• Arquitectura de backend segura: modelo de proxy inverso, sin exposición directa de la infraestructura de origen.
• Control de accesos: modelo basado en roles y acceso restringido a los sistemas de producción.
• Protección a nivel de infraestructura.

3. Gestión de vulnerabilidades

• Las dependencias de la aplicación se actualizan periódicamente.
• Las configuraciones de seguridad se revisan de forma periódica.
• Las incidencias se abordan como parte del mantenimiento continuo.

4. Monitorización y detección

• Registro y monitorización en tiempo real (New Relic).
• Seguimiento de la actividad del sistema, las transacciones y las anomalías.
• Los registros están disponibles para investigación y análisis.

5. Pruebas de penetración

• Actualmente no se realizan pruebas de penetración formales por terceros.
• La seguridad se mantiene mediante controles internos continuos y monitorización.

6. Mejora continua

Las prácticas de seguridad se revisan y mejoran de forma continua a lo largo del tiempo, y pueden incorporar pruebas de seguridad formales realizadas por terceros (por ejemplo, tests de penetración) como parte de futuras mejoras.

11. DPA y documentación contractual

ScoringMy dispone de un Acuerdo de Encargo de Tratamiento (DPA) que regula el tratamiento de datos personales cuando PeopleXBrand Aceleradora S.L. actúa como Encargado del Tratamiento por cuenta de una organización cliente.

El DPA regula, entre otras materias, la finalidad del tratamiento, categorías de datos e interesados, obligaciones del Encargado, medidas de seguridad, subencargados, gestión de incidentes, asistencia en el ejercicio de derechos, auditoría, transferencias internacionales y devolución o supresión de datos al finalizar el servicio.

Para solicitar documentación contractual o de protección de datos: legal @scoringmy. com

12. Contacto

• PeopleXBrand Aceleradora S.L.
• C/ Gregorio Benítez 10, 28043 Madrid, España
• NIF B-56994916
• Security, Privacy & Compliance: legal @scoringmy. com