Paquete de seguridad de Verbalu

Descripción concisa de las medidas de seguridad del servicio Verbalu para el cliente y su departamento de seguridad: dónde están los datos, cómo se cifran, cómo funcionan el inicio de sesión, las copias de seguridad y las actualizaciones, quiénes son nuestros subcontratistas y dónde comunicar un incidente.

Documento informativo, versión 1.0, a fecha de 12 de noviembre de 2026. Describe la situación real, también allí donde hoy no disponemos de algo. Las obligaciones frente al cliente se derivan del contrato principal, del contrato de encargo del tratamiento de datos y del anexo de seguridad.

1. Proveedor y alcance

El servicio Verbalu lo presta Octigo sp. z o.o., ul. Redycka 38/1, 51-169 Wrocław, Polonia (KRS 0000360836, NIP 8951978011). Verbalu es una aplicación en modelo SaaS para formadores, docentes y departamentos de formación: funciona en el navegador y como aplicación móvil para Android e iOS. El documento abarca la aplicación, sus funciones de servidor y los datos de los clientes almacenados en el servicio.

2. Alojamiento y ubicación de los datos

Verbalu funciona íntegramente sobre la infraestructura de Google Cloud y Firebase; no mantenemos servidores propios. La base de datos (Cloud Firestore) funciona en la multirregión eur3 en la Unión Europea. Los archivos se almacenan en Google Cloud Storage en la multirregión UE. Las funciones de servidor y la base de datos en tiempo real funcionan en la región europe-west1, en Bélgica. Las copias de seguridad de la base de datos se encuentran en eur3. Hoy no ofrecemos la elección de región. Los datos pueden salir del Espacio Económico Europeo en dos situaciones: cuando el usuario ejecuta una función de inteligencia artificial y el proveedor del modelo procesa la consulta fuera del EEE, y en el soporte técnico prestado por personal de los proveedores de fuera del EEE. La base es entonces el EU-U.S. Data Privacy Framework o las cláusulas contractuales tipo aprobadas por la Comisión Europea.

3. Cifrado

Toda la comunicación entre el navegador o la aplicación móvil y el servicio está cifrada (HTTPS, protocolo TLS). Los datos de la base de datos, de los archivos y de las copias de seguridad se cifran en reposo con el mecanismo predeterminado de Google Cloud; las claves las gestiona Google y hoy no ofrecemos cifrado con clave del cliente. No almacenamos ni vemos las contraseñas de los usuarios: las gestiona Firebase Authentication. El organizador puede cifrar adicionalmente determinados campos de la lista de asistencia con su propia contraseña, que no almacenamos y no podemos recuperar. No recogemos ni almacenamos datos de tarjetas de pago: los pagos los gestiona Stripe.

4. Inicio de sesión y autenticación multifactor (MFA)

El usuario inicia sesión con contraseña, con una cuenta de Google, con una cuenta de Apple o con un código de un solo uso enviado por correo electrónico. Verbalu no tiene hoy un segundo factor de inicio de sesión propio y no puede imponer la MFA a nivel de organización. Al iniciar sesión con una cuenta de Google actúan las protecciones de esa cuenta, incluida la verificación en dos pasos, si el cliente la impone en su dominio. El inicio de sesión con contraseña y con código por correo electrónico es de un solo factor. Recomendación hasta la implantación de una MFA propia: obligar a los formadores y administradores del cliente a iniciar sesión con la cuenta corporativa de Google con la verificación en dos pasos activada. La organización puede confirmar su dominio, y las personas con cuenta corporativa se incorporan entonces sin invitaciones. Los participantes de las sesiones se unen con un código, un enlace o un código QR, sin crear una cuenta.

5. Control de acceso y registro de auditoría

Los permisos los comprueban las reglas de la base de datos en el lado del servidor, y no solo las pantallas de la aplicación; las mismas reglas separan los datos de las distintas organizaciones. Por parte de Octigo, tienen acceso a los datos de los clientes exclusivamente las personas para las que es imprescindible para mantener el servicio o atender una solicitud, sujetas a un deber de confidencialidad. En la aplicación funciona un registro de auditoría de la organización: inicios de sesión de los miembros, también los fallidos, cambios de contraseña, invitaciones, alta y baja de miembros, cambios de permisos y de ajustes de la organización, exportaciones de datos y acciones de los administradores de Verbalu relativas a la organización. Las entradas las escriben exclusivamente las funciones de servidor, cada una tiene una suma de comprobación SHA-256, los días se sellan y se encadenan, y el registro se conserva 13 meses. El propietario de la organización lo consulta en la aplicación.

6. Copias de seguridad y restauración

La copia de seguridad de la base de datos se crea automáticamente una vez por semana, el domingo. Conservamos cada una 60 días en la multirregión eur3; las copias se cifran con el mecanismo del proveedor de la nube y no salen de la Unión Europea. No realizamos copias diarias ni horarias, y la restauración a un punto cualquiera en el tiempo está desactivada, por lo que en el peor de los casos la restauración hace retroceder el estado de la base de datos un máximo de siete días. Hoy no declaramos un tiempo de restauración contractual y todavía no hemos realizado una prueba documentada de restauración completa. El cliente puede descargar en cualquier momento su propia exportación: el propietario de la organización descarga toda la cuenta como un único archivo ZIP y puede tratarlo como una copia independiente.

7. Actualizaciones y gestión de vulnerabilidades

La capa de servidor está totalmente gestionada por Google Cloud, por lo que las actualizaciones del sistema operativo y del entorno de ejecución corresponden al proveedor de la nube. Actualizamos las dependencias de la aplicación manualmente durante los trabajos de desarrollo, sirviéndonos de las advertencias del gestor de paquetes sobre vulnerabilidades conocidas; hoy no tenemos un escáner automático que bloquee el despliegue. Desplegamos las nuevas versiones sin interrupción del servicio, y el navegador descarga por sí mismo la versión actual de la aplicación. Actualizamos la aplicación móvil a través de Google Play y App Store. En noviembre de 2026 realizamos una revisión interna de seguridad de todo el código; desplegamos las correcciones de los hallazgos de gravedad crítica y alta el 6 de noviembre de 2026. Hasta ahora no hemos encargado una prueba de penetración externa; estamos dispuestos a someternos a una prueba encargada por el cliente en una ventana de tiempo acordada.

8. Disponibilidad y monitorización

La disponibilidad de Verbalu la comprueba desde el exterior el servicio independiente UptimeRobot. El estado actual y el historial los muestra la página pública de estado: https://stats.uptimerobot.com/67oKoekA03. Funciona fuera de nuestra infraestructura, por lo que se abrirá también cuando Verbalu no responda. Hoy no ofrecemos una garantía contractual de disponibilidad (SLA).

9. Subcontratistas

La tabla al final del documento enumera las entidades que tratan datos en relación con el servicio. De la intención de añadir o sustituir a un subencargado informamos al cliente con el que tenemos un contrato de encargo del tratamiento, por correo electrónico y con una antelación mínima de 30 días. El texto en las funciones de IA lo genera un único proveedor elegido para todo el servicio (Google Gemini, OpenAI o Anthropic); el contenido llega al modelo solo cuando alguien utiliza una función de IA. No entrenamos modelos con los contenidos de los clientes. Fuera de la lista quedan los conectores que el usuario activa por sí mismo (Notion, Nuclino, selección de un archivo de Google Drive): los datos fluyen entonces desde la cuenta del usuario en esos servicios hacia Verbalu.

10. Contacto en materia de incidentes

Comunique un incidente, una sospecha de incidente o una brecha en las medidas de seguridad a la dirección hello@verbalu.com, preferiblemente con el asunto «Incidente de seguridad». La misma dirección atiende los asuntos de datos personales; no hemos designado un delegado de protección de datos. Confirmamos la recepción de la comunicación a más tardar el siguiente día hábil. De una violación que afecte a los datos del cliente le informamos sin dilación indebida, a más tardar en un plazo de 24 horas desde su constatación. El modo de actuación completo lo describe el «Procedimiento de gestión de incidentes de seguridad».

11. Lo que hoy no tenemos

Certificado ISO 27001, informe SOC 2 ni prueba de penetración externa (la infraestructura de Google Cloud sobre la que funcionamos tiene sus propios certificados e informes). MFA propia ni posibilidad de imponerla en la organización. Inicio de sesión SSO mediante SAML. Copias de seguridad con una frecuencia superior a una vez por semana ni elección de la región de los datos. Garantía contractual de disponibilidad (SLA). Análisis automático de vulnerabilidades en el proceso de despliegue.

Subcontratista	Ubicación	Alcance
Google Ireland Limited y Google LLC (Firebase, Google Cloud)	UE: eur3, EU, europe-west1	Infraestructura básica: inicio de sesión, base de datos, archivos, funciones de servidor, alojamiento, notificaciones push, copias de seguridad.
Google Ireland Limited (Google Workspace)	Según las condiciones de Google	Correo enviado desde el servicio: invitaciones, notificaciones, mensajes a los participantes, correspondencia de soporte.
Google (Gemini API)	Posible fuera del EEE	Funciones de IA: generación de texto (cuando es el proveedor elegido), imágenes, búsqueda con IA, transcripción de grabaciones. Solo por orden del usuario.
OpenAI Ireland Limited	Posible fuera del EEE	Funciones de IA: generación de texto y transcripción de grabaciones, cuando es el proveedor elegido. Solo por orden del usuario.
Anthropic PBC	EE. UU.	Funciones de IA: generación de texto, cuando es el proveedor elegido. Solo por orden del usuario.
Stripe Payments Europe	UE y EE. UU.	Pagos y facturas en los planes de pago. Los datos de la tarjeta no pasan por nuestro código.
Hotjar, Google Analytics, Google Ads	UE y EE. UU.	Analítica y medición de publicidad. Guardamos las cookies solo tras el consentimiento en el banner de cookies.
UptimeRobot	No procede	Medición externa de la disponibilidad del sitio. No recibe datos de los clientes.