Confianza y seguridad

La base de datos, los archivos subidos y generados, las cuentas de acceso, las copias de seguridad y los registros se guardan en la región de Fráncfort de Amazon Web Services (eu-central-1). El sitio se sirve a través de la red global de Amazon CloudFront. Solo los archivos públicos de la aplicación con un hash del contenido en el nombre (/assets) se guardan en la caché de la red perimetral; las páginas, las respuestas de la API y los datos personales, nunca, así que CloudFront no guarda copias de tus datos.

• En tránsito: solo HTTPS, con HSTS. La aplicación se comunica con la base de datos mediante TLS, y el almacenamiento de archivos rechaza las conexiones sin cifrar.
• En reposo: el almacenamiento de la base de datos está cifrado (en producción con nuestra propia clave de AWS KMS, que rota automáticamente cada año). Los archivos subidos y generados y las tablas de DynamoDB los cifra AWS.

Las tablas que contienen tu cartera (el perfil de la entidad, inmuebles, importaciones de reservas, estancias, cálculos, declaraciones y suscripciones) están protegidas por la seguridad a nivel de fila de PostgreSQL en modo FORCE, según la entidad (la empresa) para la que se hace la solicitud. La aplicación se conecta con un rol de base de datos que no puede saltarse esas reglas y no es propietario de ninguna tabla, así que una consulta sin la entidad correcta no ve nada.

Una prueba automática lo demuestra en cada cambio de código, en cada pull request y en cada push a la rama principal: actuando como el rol de la aplicación contra una base de datos PostgreSQL real, una entidad no debe ver ninguna fila de otra. Cada despliegue comprueba además, contra la base de datos real, que las reglas vinculan al rol de la aplicación, y se detiene si no es así.

La base de datos de producción conserva copias de seguridad point-in-time durante 14 días y tiene activada la protección contra eliminación.

Quadrarium lo gestiona su fundador, que es la única persona con acceso a los sistemas de producción, y solo para soporte y operación.

Dentro del producto, el acceso es por entidad: su Titular puede dar acceso por correo electrónico a un asesor o a un compañero.

Si una violación de datos personales afecta a datos que tratamos para ti, te lo comunicaremos sin dilación indebida una vez que tengamos conocimiento de ella, como exige el artículo 33, apartado 2, del RGPD, con lo que sabemos y lo que estamos haciendo. Cuando somos responsables del tratamiento, lo notificamos a la autoridad de control cuando el RGPD lo exige.

• Fuente oficial: cada tarifa, exención, límite y plazo procede de una fuente oficial, normalmente el reglamento del municipio, que se registra junto con la regla.
• Revisión humana: una persona comprueba la regla con esa fuente y registra la fecha. Hasta entonces el motor no la usa: la estancia aparece como pendiente de revisión en lugar de recibir un importe.
• Versiones fechadas: cada regla lleva las fechas en que se aplica, así que una estancia tributa según la regla vigente en su fecha, y un importe pasado se puede reproducir aunque la regla cambie. Cada cálculo registra la regla que usó.
• Resultados citados: el paquete de auditoría cita la fuente de cada importe.

Cada importe en euros procede de un cálculo determinista: la misma estancia con la misma regla da siempre el mismo resultado. Una función opcional de IA puede explicar una conciliación en lenguaje sencillo; recibe solo totales y recuentos, se ejecuta en Amazon Bedrock en la UE y no puede cambiar un importe.

También usamos IA internamente para redactar borradores de reglas a partir de textos oficiales. Un borrador sigue siendo invisible para el motor hasta que una persona lo ha comprobado con la fuente.

Quadrarium no presenta declaraciones ni hace pagos por nadie: los haces tú o tu intermediario. Hasta que un formato de declaración haya superado el módulo de control oficial, cada archivo de ese formato se marca como archivo de prueba y no debe presentarse.

Escribe a [email protected]. Nuestro contacto de seguridad también está publicado en /.well-known/security.txt.