Principios
- Conexiones cifradas mediante HTTPS.
- Sin cuentas ni base de datos con datos personales: no hay contraseñas ni perfiles que proteger.
- Claves y secretos fuera del código y del navegador.
- El servidor de consultas solo acepta una lista cerrada de fuentes públicas y limita las peticiones por origen.
No afirmamos que ningún sistema sea completamente seguro ni publicamos certificaciones que no tengamos.
Comunicar una vulnerabilidad
Escríbenos a contact@nemorgi.com con una descripción del problema. No accedas a datos de otras personas ni degrades el servicio al investigar. Responderemos y te mantendremos informado de la corrección.
Medidas técnicas
- Política de seguridad de contenidos (CSP) que solo permite recursos propios, el script de estadística de Cloudflare y Google Analytics (este último, solo si lo aceptas), sin iframes de terceros ni objetos incrustados.
- Las páginas son archivos estáticos: no ejecutan código en el servidor.
- Comprobación automática de secretos en el código antes de cada despliegue.
Incidentes
Si se produce una brecha que afecte a datos personales, la notificaremos a la Agencia Española de Protección de Datos en un máximo de 72 horas desde que tengamos constancia, salvo que sea improbable que suponga un riesgo, y a las personas afectadas sin dilación cuando el riesgo sea alto (arts. 33 y 34 RGPD).