Seguridad y cumplimiento

La plataforma funciona sobre una infraestructura en la nube ubicada en la UE, con los datos almacenados principalmente en Fráncfort (Alemania). Las bases de datos están en redes privadas, el acceso se realiza con tokens de corta duración y todo el tráfico externo está cifrado con TLS 1.2+ y HSTS.

Mantenemos un almacenamiento redundante con copias de seguridad automáticas cada seis horas e instantáneas diarias de recuperación a un momento dado que se conservan durante 30 días.

• Datos en reposo: AES-256 en la base de datos, contraseñas con hash (bcrypt/argon2id) y cifrado a nivel de campo para los datos sensibles.
• Datos en tránsito: TLS 1.2 o superior con conjuntos de cifrado robustos, precarga HSTS y renovación automática de certificados.
• Claves: gestionadas en un KMS, rotadas cada trimestre y auditadas en cada acceso.

Aplicamos el principio de mínimo privilegio y un control de acceso basado en roles (RBAC), implementado mediante una tabla `user_roles` específica y validado con seguridad a nivel de fila en el servidor. Las cuentas de administrador requieren autenticación en dos pasos y cada acceso queda registrado de forma inalterable.

Al personal que deja la empresa se le retiran los accesos en un plazo de 4 horas. Los proveedores externos solo acceden a los sistemas mediante cuentas específicas y auditables.

Todo el código se revisa antes de su despliegue. Realizamos análisis automatizados de dependencias (SCA), análisis estático (SAST), detección de secretos y pruebas dinámicas. Ningún cambio en producción se publica sin una batería de pruebas automatizadas, revisión manual y posibilidad de revertirlo de inmediato.

Tomamos como referencia OWASP Top 10 y OWASP API Security Top 10, y encargamos a terceros independientes pruebas de penetración anuales.

Toda la actividad sensible se registra de forma centralizada durante 12 meses. Las anomalías generan alertas en tiempo real. Mantenemos un plan documentado de respuesta a incidentes con un RTO de 4 horas y un RPO de 30 minutos para los servicios críticos.

Las violaciones de datos personales se notifican a la autoridad de control en un plazo de 72 horas conforme al artículo 33 del RGPD, y los interesados afectados son informados sin dilación indebida.

Workers Stay no almacena los datos completos de las tarjetas de pago. Toda la gestión de tarjetas se realiza a través de nuestro proveedor certificado PCI DSS, Stripe. Nos corresponde el SAQ-A (el nivel aplicable más bajo) y no tratamos CHD ni SAD en texto claro.

Solo trabajamos con subencargados que cumplen estándares de seguridad equivalentes. La lista completa y actualizada figura en nuestro contrato de encargo del tratamiento (DPA). Los cambios se comunican a los clientes corporativos con al menos 30 días de antelación.

Invitamos a los investigadores de seguridad a comunicar posibles vulnerabilidades a security@workersstay.com. Acusamos recibo en 48 horas, corregimos según la prioridad CVSS y no emprenderemos acciones legales contra las comunicaciones realizadas en el marco de una investigación de buena fe.

A los clientes corporativos cuya colaboración implique el tratamiento de datos personales (formularios de reserva, integraciones con CRM, listas de empleados alojados con nosotros) les ofrecemos un DPA por escrito antes de la activación. Nuestro DPA estándar se ajusta al artículo 28 del RGPD e incluye las cláusulas contractuales tipo de la UE (módulos 2 y 3, cuando proceda) para todos los subencargados ubicados fuera del EEE. Solicita una copia del DPA vigente en privacy@workersstay.com.

Trabajamos con un número limitado de subencargados cuidadosamente evaluados. Cada uno está vinculado por un contrato escrito que le impone obligaciones de protección de datos equivalentes. Lista actual:

• Google LLC / Google Ireland Ltd: Google Workspace, Analytics, Ads, Maps (UE y EE. UU., cláusulas contractuales tipo).
• Meta Platforms Ireland Ltd: Meta Pixel y CAPI (UE).
• Supabase Inc.: base de datos de la aplicación y autenticación (región UE, Fráncfort).
• Stripe Payments Europe Ltd: pagos con tarjeta (UE, PCI DSS nivel 1).
• Resend, Inc.: correo transaccional (región UE).
• Cloudflare, Inc.: DNS, WAF y distribución en el borde (global, cláusulas contractuales tipo).
• PostHog Inc.: analítica de producto (región UE).

Informamos por escrito a los clientes corporativos al menos 30 días antes de añadir o sustituir un subencargado.

Si se confirma un incidente que afecta a datos de un cliente corporativo, se lo notificamos al cliente afectado sin dilación indebida y, a más tardar, en las 48 horas siguientes a la confirmación. La notificación incluye las categorías de datos afectadas, las consecuencias probables y las medidas adoptadas para mitigarlas. En paralelo, las violaciones de datos personales se notifican a la autoridad de control en un plazo de 72 horas conforme al artículo 33 del RGPD.

Todos los miembros del equipo y colaboradores externos están sujetos a obligaciones de confidencialidad por escrito que siguen vigentes tras el fin de su relación con nosotros. Bajo solicitud, ofrecemos acuerdos de confidencialidad mutuos antes de las conversaciones comerciales.

Oficina de seguridad: security@workersstay.com. Protección de datos: privacy@workersstay.com. Contacto general: contact@workersstay.com. Dirección postal: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Reino Unido.