En Kuot  la seguridad no es una característica opcional, es el núcleo de nuestra arquitectura. Esta política describe las medidas técnicas y organizativas que aplicamos conforme al RGPD Art. 32, el Esquema Nacional de Seguridad (ENS) y las mejores prácticas del sector.

1. Medidas Técnicas de Seguridad

Mensajería cifrada de extremo a extremo (E2EE)

Los mensajes que intercambia con su asesor se cifran directamente en su navegador.

La clave necesaria para descifrarlos se genera en su dispositivo y se protege mediante su contraseña. La clave nunca viaja a nuestros servidores en claro.

Esto significa que ni el equipo de Kuot ni una persona con acceso a nuestra base de datos puede leer el contenido de esas conversaciones.

Importante: si pierde la contraseña que protege su clave privada, sus mensajes anteriores no podrán recuperarse.

Tecnologías utilizadas
AES-256-GCM · RSA-2048 (OAEP) · PBKDF2 — 100.000 iteraciones

Cifrado en reposo y en tránsito

Sus facturas, presupuestos, gastos y documentos fiscales se almacenan cifrados en reposo mediante AES-256 y se transmiten siempre mediante conexiones seguras TLS, con certificados gestionados y renovados automáticamente.

Los documentos fiscales no utilizan cifrado de extremo a extremo como la mensajería.

Esto es deliberado: Kuot necesita procesar su contenido para poder:

• Generar documentos PDF.

• Calcular impuestos.

• Remitir registros a la AEAT.

• Realizar búsquedas entre facturas.

• Ejecutar las funciones propias del sistema de facturación.

Un cifrado que impidiera el acceso de la propia aplicación a estos documentos impediría también el funcionamiento de estas características.

Protección aplicada
AES-256 en reposo · TLS 1.2+ · HSTS

Control de acceso y autenticación

Cada fila de las tablas que contienen información está protegida mediante políticas aplicadas directamente por el motor de base de datos utilizando Row Level Security (RLS).

Esto añade una barrera independiente del código de la aplicación. Aunque existiera un fallo en la interfaz, la base de datos seguiría aplicando sus propias reglas para impedir el acceso a información que no corresponda al usuario.

Además, Kuot utiliza:

• Control de acceso basado en roles verificado en servidor.

• Principio de mínimo privilegio.

• Sesiones con expiración automática.

• Consulta y revocación de sesiones activas desde la cuenta.

• Almacenamiento seguro de contraseñas mediante hash.

Las contraseñas nunca se almacenan en texto plano ni de forma reversible.

Controles aplicados
RLS · RBAC · Mínimo privilegio · Sesiones revocables

Registro y auditoría de actividad

Registramos eventos relevantes relacionados con la seguridad de la plataforma, entre ellos:

• Inicios de sesión.

• Intentos de acceso fallidos.

• Cambios de permisos.

• Accesos administrativos.

• Operaciones sobre documentos fiscales.

Estos registros permiten reconstruir con precisión qué ocurrió ante una posible incidencia.

No afirmamos disponer de un centro de operaciones de seguridad atendido las 24 horas. Sí contamos con trazabilidad de accesos y registro de eventos relevantes.

Controles aplicados
Trazabilidad · Auditoría de accesos · Registro de eventos

Copias de seguridad

Kuot dispone de mecanismos destinados a proteger la información ante una pérdida o incidencia.

Las copias de seguridad se mantienen cifradas y en infraestructura ubicada en la Unión Europea, separada de la base de datos de producción.

Además, puede generar y descargar sus propias copias desde la aplicación, sin depender de Kuot para conservar una copia adicional de su información.

Protección aplicada
Cifrado · Almacenamiento en la UE · Descarga bajo demanda

Nota interna antes de publicar: confirmar si actualmente existen copias automáticas con retención de 30 días o si únicamente están disponibles bajo demanda. El texto original contiene ambas versiones.

Gestión de incidentes

Ante una brecha de seguridad que pueda suponer un riesgo para los derechos y libertades de los usuarios, Kuot notificará el incidente a la Agencia Española de Protección de Datos (AEPD) cuando corresponda conforme a la normativa aplicable.

La notificación se realizará, cuando proceda, en un plazo máximo de 72 horas desde que tengamos conocimiento de la brecha, conforme al artículo 33 del RGPD.

Cuando la brecha pueda suponer un riesgo alto para las personas afectadas, Kuot también se lo comunicará directamente de forma clara y comprensible, conforme al artículo 34 del RGPD.

Normativa relacionada
RGPD Art. 33 · RGPD Art. 34 · AEPD

2. Medidas Organizativas

La seguridad de Kuot no depende exclusivamente de medidas tecnológicas. También aplicamos procedimientos organizativos destinados a reducir el riesgo de accesos indebidos, errores y vulnerabilidades.

Principio de mínimo privilegio

El acceso a los datos de clientes está restringido a lo estrictamente necesario para prestar el servicio.

Los accesos relevantes quedan registrados.

Confidencialidad

Todas las personas que pueden acceder a datos de clientes están sujetas a obligaciones de confidencialidad.

Revisión de cambios

Las modificaciones que afectan a las políticas de acceso a datos se revisan específicamente antes de llegar al entorno de producción.

Gestión de vulnerabilidades

Revisamos las dependencias utilizadas por el proyecto y damos prioridad a los parches relacionados con vulnerabilidades críticas frente a otros desarrollos en curso.

3. Infraestructura y Localización de Datos

La infraestructura principal de Kuot opera dentro del Espacio Económico Europeo (EEE).

Trabajamos con proveedores que disponen de garantías contractuales relacionadas con la protección de datos.

Base de datos y almacenamiento

Supabase sobre AWS
Ubicación indicada: Unión Europea.

Alojamiento de la aplicación

Vercel
Ubicación indicada: Unión Europea.

Procesamiento de pagos

Redsys
España.

Extracción automática de datos de facturas

Google — Gemini API
El procesamiento asociado a esta funcionalidad puede implicar tratamiento de información fuera del Espacio Económico Europeo.

Sobre la extracción automática de datos

Cuando utiliza la función de Kuot que permite rellenar una factura o un ticket automáticamente a partir de un documento, dicho documento se envía a la API de Gemini de Google para su procesamiento.

Según la configuración descrita para este servicio, esta transferencia internacional se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

El documento se procesa de forma puntual con el objetivo de extraer la información necesaria para completar la factura o el ticket.

Esta funcionalidad es opcional.

Si prefiere no utilizarla, siempre puede introducir manualmente los datos del documento.

Nota interna antes de publicar: verificar contractualmente que la configuración concreta de Gemini utilizada por Kuot garantiza que los documentos enviados mediante la API no se utilizan para entrenamiento y confirmar el mecanismo aplicable a la transferencia internacional.

4. Pagos y Datos Bancarios

Kuot no almacena ni procesa directamente los datos de las tarjetas bancarias.

Los pagos se tramitan a través de Redsys, plataforma de pagos utilizada por el sector bancario español y certificada bajo el estándar PCI-DSS.

Los datos de la tarjeta se envían directamente desde el navegador del usuario hasta la pasarela de pago sin pasar por los sistemas de Kuot.

Kuot recibe únicamente la referencia necesaria para identificar y gestionar la operación.

Protección aplicada
Sin almacenamiento de tarjetas · Redsys · PCI-DSS

5. Cumplimiento Normativo

Kuot diseña sus procesos y sistemas teniendo en cuenta la normativa aplicable en materia de protección de datos y sistemas de facturación.

RGPD — Reglamento (UE) 2016/679

Regula la protección de los datos personales dentro de la Unión Europea.

Entre sus disposiciones resulta especialmente relevante:

Artículo 32 — Seguridad del tratamiento
Establece la aplicación de medidas técnicas y organizativas apropiadas para proteger los datos personales.

LOPDGDD — Ley Orgánica 3/2018

Complementa y adapta el RGPD al ordenamiento jurídico español y regula determinados derechos relacionados con la protección de datos y los derechos digitales.

Ley 11/2021 de medidas de prevención y lucha contra el fraude fiscal

Introduce obligaciones relacionadas con los sistemas informáticos utilizados en los procesos de facturación y con la integridad de los registros generados.

VERI*FACTU

Kuot contempla los requisitos establecidos, entre otras disposiciones, por:

• Real Decreto 1007/2023

• Orden HAC/1177/2024

Estas normas establecen requisitos para los sistemas informáticos de facturación y especificaciones técnicas relacionadas con la generación y remisión de registros de facturación a la Agencia Tributaria.

6. Reporte de Vulnerabilidades

Responsible Disclosure

Si descubre una posible vulnerabilidad de seguridad en Kuot, le pedimos que nos la comunique de forma responsable antes de hacerla pública.

Nuestro compromiso es el siguiente:

1. Confirmación de recepción

Acusaremos recibo del reporte en un plazo máximo de 5 días laborables.

2. Evaluación

Analizaremos la vulnerabilidad y el riesgo asociado.

3. Plan de corrección

Comunicaremos un plan de actuación dentro de un plazo máximo de 30 días.

4. Protección del investigador

No emprenderemos acciones legales contra investigadores de seguridad que actúen de buena fe, siempre que:

• No accedan deliberadamente a datos de terceros.

• No alteren información ajena.

• No degraden o interrumpan el servicio.

• Nos comuniquen la vulnerabilidad de manera responsable.

5. Reconocimiento

Cuando el investigador así lo desee, podremos reconocer públicamente su contribución en nuestra página de agradecimientos.

Contacto de seguridad

seguridad@kuot.online

7. Notificación de Brechas de Seguridad

Si se produce una brecha de seguridad que pueda suponer un riesgo para los derechos y libertades de los usuarios, Kuot notificará el incidente a la Agencia Española de Protección de Datos (AEPD) cuando así lo exija la normativa.

Cuando corresponda, la comunicación se realizará en un plazo máximo de 72 horas desde que tengamos conocimiento de la brecha, conforme al artículo 33 del RGPD.

Si la incidencia puede suponer un riesgo alto para las personas afectadas, Kuot también se lo comunicará directamente de forma clara y sin tecnicismos innecesarios, conforme al artículo 34 del RGPD.

8. Mejoras de Seguridad en Curso

Preferimos comunicar con transparencia aquello en lo que estamos trabajando antes que atribuirnos medidas que todavía no se encuentran implantadas.

Autenticación en dos factores (2FA)

Estado: En desarrollo

Estamos trabajando en la incorporación de autenticación en dos factores como medida adicional y opcional para las cuentas de Kuot.

Copias de seguridad programadas

Estado: En desarrollo

Está prevista la automatización y programación periódica de las copias de seguridad.

Pendiente antes de publicar: esta afirmación debe unificarse con la descripción de las copias de seguridad incluida en la sección 1.

Cabeceras de seguridad avanzadas

Estado: En desarrollo

Estamos trabajando en el despliegue de una Content Security Policy (CSP) más estricta para reforzar la seguridad frente a determinados ataques ejecutados desde el navegador.

9. Revisión de esta Política

Esta Política de Seguridad se revisa al menos una vez al año.

También podrá actualizarse cuando:

• Se produzcan cambios significativos en nuestra infraestructura.

• Cambie la normativa aplicable.

• Se incorporen nuevas medidas de seguridad.

• Se produzca un incidente que requiera revisar nuestros procedimientos.

Revisión interna antes de publicar

Esta sección debe eliminarse de la versión pública.

• Confirmar si las copias de seguridad son actualmente automáticas o únicamente bajo demanda.

• Si son automáticas, confirmar la periodicidad y la retención real de 30 días.

• Verificar la región real del proyecto de Supabase.

• Confirmar qué significa exactamente “Vercel · UE” para la configuración utilizada por Kuot.

• Verificar el tratamiento internacional realizado mediante Gemini API.

• Confirmar las Cláusulas Contractuales Tipo u otro mecanismo utilizado para dicha transferencia.

• Confirmar contractualmente que los documentos enviados a Gemini mediante esta configuración no se utilizan para entrenar modelos.

• Confirmar que Kuot puede cumplir realmente los compromisos de 5 días laborables y 30 días indicados en Responsible Disclosure.

• Comprobar que todas las tecnologías y medidas descritas coinciden con la implementación actual.