Procedimiento de gestión de incidentes de seguridad

Cómo actúa Verbalu ante un incidente de seguridad: quién lo detecta, quién toma las decisiones y quién notifica al cliente y en qué plazo.

Versión 1.0, en vigor desde el 12 de noviembre de 2026. El procedimiento es nuevo y todavía no se ha comprobado mediante un ejercicio. Los plazos de notificación son conformes con el contrato de encargo del tratamiento de datos; si el contrato con el cliente dispone otra cosa, prevalece el contrato.

1. Objeto y alcance

Es un incidente todo suceso que vulnera o puede vulnerar la confidencialidad, la integridad o la disponibilidad de los datos de los clientes o del propio servicio Verbalu: acceso no autorizado, divulgación, pérdida o alteración de datos, toma de control de una cuenta, vulnerabilidad detectada y avería. El procedimiento abarca las violaciones de la seguridad de los datos personales en el sentido del RGPD y los incidentes que un cliente que sea una entidad sujeta a la Directiva NIS2 debe conocer como destinatario del servicio.

2. Funciones

Comunicante: toda persona que advierta un suceso, incluidos un empleado y un colaborador de Octigo, un cliente, un participante o un investigador de seguridad. Coordinador del incidente: persona del equipo de Verbalu que recibe las comunicaciones y las alertas, dirige la gestión del incidente desde su recepción hasta su cierre y documenta su desarrollo. Decisor: miembro del consejo de administración de Octigo sp. z o.o., que aprueba la clasificación de los incidentes de nivel alto y crítico y decide sobre la notificación a los clientes y a las autoridades, sobre la desactivación de una función o del servicio y sobre la intervención de un abogado. Contacto del cliente: persona indicada por el cliente en el contrato o en el anexo de seguridad. Octigo es un equipo pequeño, por lo que una misma persona puede reunir las funciones de coordinador y de decisor; la decisión sobre la notificación la toma siempre un miembro del consejo de administración.

3. Quién detecta

Un incidente puede detectarlo un sistema o una persona. Automáticamente: el registro de auditoría envía una alerta por correo electrónico ante la sospecha de intentos de adivinar una contraseña, ante la concesión de permisos de administrador de Verbalu y ante la falta de concordancia de las entradas con el sello nocturno; el monitor externo UptimeRobot comunica la indisponibilidad del sitio (https://stats.uptimerobot.com/67oKoekA03); el servicio comunica por correo electrónico los errores de los proveedores de IA; Google Cloud y los demás subcontratistas informan de los sucesos que se producen por su parte. Por personas: comunicaciones de clientes, usuarios e investigadores de seguridad a la dirección hello@verbalu.com y observaciones del equipo. Toda persona del equipo que advierta un suceso lo traslada al coordinador de inmediato, sin valorar por su cuenta si se trata de un incidente «real».

4. Clasificación

Crítico: acceso no autorizado confirmado a los datos de los clientes, su pérdida o divulgación, o indisponibilidad de todo el servicio. Alto: violación probable de los datos, toma de control de la cuenta del propietario de la organización o de un administrador, o indisponibilidad de una función clave, como el inicio de sesión o la incorporación a una sesión. Medio: vulnerabilidad sin indicios de explotación o avería de una sola herramienta. Bajo: suceso sin efecto sobre los datos ni sobre la disponibilidad. El nivel puede modificarse durante la gestión, cuando aparezcan nuevos hallazgos; en caso de duda se adopta el nivel superior.

5. Quién decide

El coordinador confirma la recepción de la comunicación y clasifica el suceso de forma preliminar. Traslada sin demora al decisor el incidente de nivel alto o crítico. El decisor aprueba el nivel, decide sobre las medidas de limitación de los efectos que afectan a los clientes (bloqueo de cuentas, desactivación de una función, interrupción del servicio), así como sobre el contenido y los destinatarios de las notificaciones. El coordinador anota cada decisión en el registro de incidentes junto con la hora en que se tomó. Los incidentes de nivel bajo y medio los gestiona el coordinador por sí mismo e informa de ellos al decisor en la revisión periódica.

6. Notificación al cliente

Al cliente lo notifica el coordinador, una vez aprobado el contenido por el decisor. La notificación se envía por correo electrónico al contacto indicado por el cliente y, además, por teléfono, si el cliente ha facilitado un número. Plazo: sin dilación indebida, a más tardar 24 horas desde la constatación de que el incidente afecta a los datos del cliente o limita de forma significativa la disponibilidad del servicio para él. La primera notificación contiene lo que se sabe: la naturaleza del suceso, las categorías y el número aproximado de personas y de registros afectados, las posibles consecuencias, las medidas adoptadas y previstas y los datos de la persona de contacto. Si parte de la información no puede facilitarse de inmediato, la transmitimos por etapas: la información complementaria en un plazo de 72 horas desde la constatación, y el informe final con la causa y las medidas preventivas en un plazo de 30 días desde el cierre del incidente.

7. Notificación a las autoridades y a los interesados

Respecto de los datos de los participantes y de los estudiantes, el responsable del tratamiento es el cliente y Octigo es el encargado del tratamiento: informamos al cliente, y es el cliente quien valora si notificar la violación a la autoridad de control y a los interesados. Le ayudamos en ello facilitándole la información necesaria para la notificación. Respecto de los datos de las cuentas de los formadores y de los organizadores, el responsable del tratamiento es Octigo: notificamos la violación a la autoridad de control polaca (Presidente de la Oficina de Protección de Datos Personales, UODO) en un plazo de 72 horas desde la constatación, a menos que sea improbable que entrañe un riesgo para los derechos o las libertades de las personas, y cuando el riesgo es alto informamos también a esas personas. Al cliente que esté sujeto él mismo a NIS2 le facilitamos la información necesaria para su alerta temprana (24 horas) y para la notificación del incidente (72 horas).

8. Limitación de los efectos y restablecimiento del funcionamiento

En función del suceso: bloqueo o cierre de sesión de cuentas, sustitución de claves y contraseñas de acceso, desactivación de una función, corrección y despliegue y, en caso de pérdida de datos, restauración a partir de la copia de seguridad (el peor punto de restauración es la última copia semanal). Protegemos las pruebas frente a su alteración: el registro de auditoría de la aplicación se conserva 13 meses y está protegido con sumas de comprobación y sellos diarios, y las operaciones sobre la infraestructura las registran los registros de Google Cloud.

9. Cierre y conclusiones

El incidente lo cierra el coordinador y, en los niveles alto y crítico, el decisor. Cada incidente se inscribe en el registro de incidentes que lleva Octigo: descripción, hora de detección, nivel, decisiones, notificaciones, causa y medidas correctoras. Tras un incidente alto o crítico elaboramos una revisión con conclusiones. Revisamos el procedimiento al menos una vez al año y después de cada incidente alto o crítico.

10. Contacto

Comunicaciones: hello@verbalu.com, asunto «Incidente de seguridad». En la comunicación indique qué se ha advertido y cuándo, a qué organización o sesión afecta y cómo ponerse en contacto con usted. No envíe en la comunicación contraseñas ni datos personales de terceros.

Etapa	Plazo	Quién y qué hace
Recepción de la comunicación	A más tardar el siguiente día hábil	El coordinador confirma la recepción al comunicante y crea una entrada en el registro de incidentes.
Clasificación preliminar	El día de la recepción de la comunicación	El coordinador asigna el nivel: bajo, medio, alto o crítico.
Escalado	Sin demora	El coordinador traslada el incidente alto o crítico a un miembro del consejo de administración de Octigo.
Decisión sobre la notificación	Antes de que venza el plazo de notificación	Un miembro del consejo de administración aprueba el nivel, los destinatarios y el contenido de la notificación.
Primera notificación al cliente	Hasta 24 horas desde la constatación	Coordinador: correo electrónico al contacto del cliente y, además, teléfono, si se ha facilitado un número.
Información complementaria	Hasta 72 horas desde la constatación	Coordinador: alcance, evaluación de los efectos, medidas adoptadas y previstas.
Notificación a la UODO	Hasta 72 horas desde la constatación	Un miembro del consejo de administración, solo cuando el responsable del tratamiento de los datos es Octigo. En los demás casos notifica el cliente, con nuestra ayuda.
Informe final	Hasta 30 días desde el cierre	Coordinador: causa, desarrollo, medidas preventivas. Lo aprueba un miembro del consejo de administración.