Seguridad
homaigo custodia documentos, identidad y datos económicos de viviendas y comunidades en nombre de sus titulares y de sus administradores. Esta página describe lo que hacemos hoy para protegerlos y lo que estamos mejorando.
Versión vigente: 2026-09-27
Cómo pensamos la seguridad
- Denegar por defecto. Nadie —ni el asistente de IA— ve un dato sin una regla explícita que se lo permita, aplicada en la propia base de datos.
- Evidencia sobre intención. Solo afirmamos lo que podemos enseñar: una configuración, un test automático o un documento. Lo que aún no está, figura como «en curso».
- Minimización. No recogemos, indexamos ni enviamos a proveedores más dato personal del que la función necesita.
Lo que puedes verificar hoy
Datos en la Unión Europea
La base de datos, la autenticación y los ficheros se alojan en Supabase sobre AWS eu-west-1 (Dublín). El servidor de la aplicación se ejecuta en Vercel, región dub1 (Dublín), en el mismo centro de datos.
Cifrado en tránsito y en reposo
Todo el tráfico va por TLS. La infraestructura de base de datos y de almacenamiento aplica el cifrado en reposo que proporciona el proveedor. Los DNI e IBAN personales de propietarios y contactos se cifran además en la aplicación (AES-256-GCM) con una clave que nunca llega a la base de datos.
Control de acceso fila a fila
El 100 % de las tablas de aplicación tiene seguridad a nivel de fila (RLS) activada: el acceso se concede con reglas explícitas y las tablas internas sin reglas quedan inaccesibles por defecto. El mismo control se aplica antes de que el asistente de IA construya cualquier respuesta: no recupera fragmentos de documentos a los que la persona no tiene acceso.
Ficheros privados
Los documentos viven en un almacenamiento privado sin acceso público. Un documento privado mostrado dentro de la aplicación se sirve desde nuestro propio dominio, solo a la sesión de la persona autorizada: su dirección no vale para nadie más, ni copiada ni compartida, y caduca en minutos.
Registro de auditoría
Las acciones sensibles (compartir un dossier, transferir una vivienda, exportar o borrar una cuenta, accesos de soporte) quedan registradas con quién, qué y cuándo, y se conservan 5 años.
Tus derechos, en la app
Desde tu perfil puedes descargar todos tus datos en JSON y eliminar tu cuenta. El borrado retira tus datos personales y deja anónima tu huella en la memoria del inmueble.
Correo de ingesta verificado
Los emails que envías a tu dirección de ingesta llegan a través de un proveedor que firma cada entrega; rechazamos cualquier mensaje cuya firma no sea válida y aplicamos límites de tamaño y de frecuencia.
Sesión en cookies seguras
Tu sesión vive en cookies protegidas (HttpOnly, Secure y SameSite), que ningún script de la página puede leer, y se renueva en el servidor: el navegador no guarda ni envía tu token. Cambiar la contraseña cierra tus demás sesiones.
Contraseñas robustas
Exigimos contraseñas con longitud mínima y mezcla de caracteres; las credenciales se guardan solo como hash en el proveedor de identidad. Cambiar la contraseña se registra.
IA acotada fuera del modelo
El asistente tiene límites de pasos y tokens por turno, controles de frecuencia y una cuota mensual configurable; las acciones que modifican datos las confirma una persona; el proveedor del modelo no usa las peticiones para entrenar y cada una se envía marcada para que no la guarde para consultas posteriores.
Retención automática
Un proceso diario elimina lo que ha cumplido su plazo: trazas del asistente a los 90 días, conversaciones inactivas a los 12 meses, correos de ingesta procesados a los 90 días.
Proveedores
Trabajamos con un número reducido de proveedores, cada uno limitado a la información necesaria para prestar su servicio: Supabase (base de datos, identidad y ficheros; UE), Vercel (alojamiento; funciones en la UE), OpenAI (modelos del asistente; API de OpenAI, sin uso para entrenamiento), Resend (email transaccional y recepción de ingesta), Sentry (errores y rendimiento de la aplicación: telemetría técnica minimizada, con la captura automática de datos personales desactivada y el contexto restringido) y Firecrawl (búsqueda de manuales de fabricantes: en el flujo actual solo se envían marca y modelo del equipo; no se envían datos personales). Los proveedores auxiliares pueden tratar datos fuera del EEE con cláusulas contractuales tipo. Los contratos de tratamiento y las garantías de transferencia correspondientes se formalizan y archivan antes del lanzamiento. El detalle, con país y garantía de transferencia, está en la política de privacidad.
En curso
Seguimos referencias públicas como lista de trabajo, no como certificación (OWASP ASVS, OWASP Top 10 y GenAI Top 10, RGPD y guía ENS), y una lista de mejoras abierta. Las más relevantes ahora mismo:
- Verificación en dos pasos obligatoria. Ya puede activarse desde el perfil; pasará a ser obligatoria para administradores de fincas y personal de la plataforma.
- Retención cero en el proveedor de IA. Solicitud de Zero Data Retention a OpenAI para que ninguna petición se conserve, ni siquiera para control de abuso.
- Copias de seguridad con restauración probada. Punto de recuperación en el tiempo y simulacro de restauración documentado.
- Registro de actividades de tratamiento (RAT). Documento RGPD formal por tratamiento; hoy en borrador.
- Revisión de proveedores. Contratos de tratamiento firmados y archivados, y región UE confirmada en Sentry y Resend.
- Pentest externo. Prueba de intrusión independiente con cuentas de vecino y de gestor, y repetición anual. Publicaremos aquí un resumen de resultados.
- Más adelante. Evaluación de impacto (DPIA) si el tratamiento lo exige, y certificación ENS o ISO 27001 solo si un cliente o una licitación lo pide.
Divulgación responsable
Si has encontrado una vulnerabilidad, te agradecemos que nos la comuniques de forma privada antes de hacerla pública. Escríbenos a hola@homaigo.com con los pasos para reproducirla. Nos comprometemos a acusar recibo en 2 días laborables, mantenerte informado del progreso y no emprender acciones legales contra quien investigue de buena fe, sin acceder a datos de terceros más allá de lo imprescindible para demostrar el problema y sin degradar el servicio.
Publicamos esta información también en formato estándar en /.well-known/security.txt (RFC 9116).
Si algo sale mal
Tenemos un procedimiento de respuesta a incidentes que fija quién actúa, qué se revoca primero y cómo se evalúa el riesgo para las personas afectadas. Con los datos de una comunidad, la responsable del tratamiento es la propia comunidad de propietarios, su administración de fincas es la encargada y homaigo actúa como subencargado: ante una brecha, avisamos a la administración afectada en un máximo de 48 horas desde que la conocemos, con toda la información necesaria para que evalúe el riesgo y, cuando corresponda, notifique a la Agencia Española de Protección de Datos dentro del plazo legal de 72 horas. Con los datos de quienes se registran directamente, homaigo es el responsable: realizamos nosotros la notificación que proceda en ese plazo y, cuando el riesgo para ti sea alto, te lo comunicamos directamente.