Seguridad

Infraestructura

Taldeko se ejecuta sobre Google Cloud en la región europe-southwest1 (Madrid, España): Cloud Run para los servicios, Cloud SQL (PostgreSQL) para la base de datos, Memorystore (Redis) para las colas y Cloud Storage para los archivos. Mantener los datos en España facilita la residencia de datos en la Unión Europea.

Cifrado

Las comunicaciones viajan cifradas mediante TLS/HTTPS, con Cloudflare como capa de proxy y de protección frente a abusos. Google Cloud cifra de forma transparente los datos en reposo (base de datos y almacenamiento). Además, la propia aplicación cifra con AES-256-GCM los tokens de LinkedIn y los webhooks de Slack y Teams antes de guardarlos.

Aislamiento entre organizaciones

Cada organización opera en un espacio lógicamente aislado. Todas las consultas y operaciones se acotan por el identificador de la organización (tenant), de modo que los datos de una empresa no son accesibles desde otra.

Autenticación y sesiones

Las contraseñas se guardan con un algoritmo de derivación robusto (scrypt), nunca en texto plano. Cada sesión es un token firmado (HMAC-SHA256) y caduca:

• por inactividad: a los 30 minutos sin actividad en los paneles de gestión y de administración, y a los 7 días en el portal de las personas embajadoras;
• por tiempo máximo: a las 8 horas en los paneles y a los 30 días en el portal;
• al cambiar la contraseña, que cierra las demás sesiones abiertas.

Límite de intentos

Los intentos de inicio de sesión y de restablecimiento de contraseña están limitados por cuenta y por dirección IP, para frenar ataques de fuerza bruta.

Gestión de secretos y mínimo privilegio

Las credenciales y las claves se custodian en Google Secret Manager y no se incluyen en el código. Cada componente opera solo con los permisos (IAM) que necesita para su función.

Copias de seguridad y continuidad

La base de datos tiene copias de seguridad automáticas diarias, que se conservan 7 días, y permite recuperarla a cualquier momento de los últimos 7 días.

Inteligencia artificial con control humano

La generación con IA usa Vertex AI (Gemini) dentro de Google Cloud: el texto se genera en Madrid (o en Bélgica, si Madrid está saturada) y los índices semánticos se calculan en Bélgica, siempre en la Unión Europea. El contenido enviado al modelo no se usa para entrenar modelos, y todo resultado pasa por revisión humana antes de distribuirse.

LinkedIn y publicación

Taldeko no publica nada de forma automática. La persona embajadora revisa el contenido, puede editarlo y decide si lo publica, copiando el texto en su perfil o desde la plataforma con su cuenta de LinkedIn conectada. En ese caso solo se piden los permisos para identificarla y publicar en su nombre: Taldeko no puede leer sus mensajes, sus contactos ni sus publicaciones. El token se guarda cifrado y la persona puede desconectar su cuenta cuando quiera.

Sin rastreadores

Ni esta web ni la aplicación cargan herramientas de analítica, publicidad ni seguimiento de terceros, y las fuentes tipográficas se sirven desde nuestro propio dominio.

Problemas con tu cuenta

Si no puedes entrar, crees que alguien ha usado tu cuenta o necesitas recuperar el acceso, escribe a soporte@taldeko.com indicando tu organización. Cambiar la contraseña cierra las demás sesiones abiertas.

Incidencias y divulgación responsable

Si detectas una vulnerabilidad o una incidencia de seguridad, te pedimos que la comuniques de forma responsable a info@taldeko.com, con el detalle necesario para reproducirla. La investigaremos con prioridad y agradecemos la divulgación coordinada. Si una incidencia afecta a datos personales, avisaremos a las organizaciones afectadas sin dilación indebida.