1. Objeto y finalidad
La presente Política de Seguridad de la Información tiene por objeto establecer las medidas, criterios y procedimientos que Ofertas de Fibra Óptica aplica para proteger la información propia, la información de sus clientes, los datos personales tratados en la web y los sistemas utilizados para la prestación de sus servicios.
La política persigue garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información, así como reducir los riesgos derivados del acceso no autorizado, pérdida, alteración, divulgación indebida, fraude, errores humanos, fallos técnicos o incidentes de seguridad.
2. Identificación del responsable
El responsable de la actividad y de la presente política es Jean Paul Torres Hidalgo, con NIF Y8483875V, actuando bajo el nombre comercial Ofertas de Fibra Óptica, con domicilio fiscal en Polígono Ganadero 150B, 10004 Cáceres, España.
Canales de contacto: info@ofertasdefibraoptica.es para consultas generales y rgpd@ofertasdefibraoptica.es para cuestiones relacionadas con protección de datos, seguridad de la información, derechos RGPD o incidencias que afecten a datos personales.
3. Ámbito de aplicación
Esta política se aplica a la página web https://www.ofertasdefibraoptica.es, a la tienda online, a los formularios, al área privada de clientes, a las reservas de citas, a las comunicaciones por correo electrónico, WhatsApp, teléfono, Google Meet y Zoom, así como a los procesos comerciales, administrativos y de atención al cliente vinculados a la actividad.
También se aplica a los servicios de intermediación en telecomunicaciones, telefonía, energía y seguros; marketing digital; desarrollo web; automatizaciones con inteligencia artificial; captación de leads; servicios de call center inbound y outbound; y venta de productos tecnológicos.
4. Principios de seguridad
Ofertas de Fibra Óptica aplicará los siguientes principios: seguridad desde el diseño, minimización de datos, necesidad de acceso, confidencialidad, integridad, disponibilidad, trazabilidad, proporcionalidad, revisión periódica, prevención, respuesta ante incidencias y mejora continua.
Las medidas de seguridad se aplicarán teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza de los datos, el alcance del tratamiento, los riesgos para los usuarios y la realidad operativa del negocio.
5. Información protegida
La información protegida incluye datos de clientes, datos de contacto, solicitudes de ofertas, formularios, pedidos, facturas, presupuestos, registros de citas, comunicaciones comerciales, datos de envío, documentación contractual, datos de proveedores, campañas, bases de datos, copias de seguridad y cualquier información generada o recibida durante la actividad.
Se prestará especial atención a datos identificativos como nombre, apellidos, DNI/NIE, teléfono, correo electrónico, dirección postal, datos de facturación, datos de contratación, información de operador actual, preferencias comerciales y registros de consentimientos.
6. Roles y responsabilidades
El titular de la actividad será responsable de aprobar, revisar y mantener esta política, así como de adoptar medidas razonables para su cumplimiento.
Las personas colaboradoras, empleados, proveedores o terceros que accedan a información de Ofertas de Fibra Óptica deberán respetar las instrucciones de seguridad, utilizar la información únicamente para la finalidad autorizada y mantener la confidencialidad de los datos a los que tengan acceso.
Los proveedores tecnológicos y encargados de tratamiento deberán ofrecer garantías suficientes de seguridad, confidencialidad y cumplimiento normativo cuando traten datos por cuenta del titular.
7. Medidas organizativas de seguridad
Se aplicarán medidas organizativas como limitación de accesos por necesidad, uso de cuentas individuales, custodia de credenciales, revisión de permisos, conservación ordenada de documentos, control de proveedores, clasificación de información, registro de incidencias y procedimientos básicos de respuesta ante problemas de seguridad.
La información sensible no deberá compartirse por canales no autorizados ni almacenarse en dispositivos personales sin medidas adecuadas de protección.
Se mantendrá un criterio de acceso mínimo necesario: cada persona o proveedor solo deberá acceder a la información imprescindible para realizar la función asignada. Las altas, modificaciones y bajas de usuarios internos deberán documentarse de forma razonable, especialmente cuando afecten a WordPress, correo corporativo, CRM, pasarelas de pago, formularios, hosting o herramientas de automatización.
Cuando se otorgue acceso temporal a colaboradores, técnicos o proveedores externos, dicho acceso deberá limitarse en el tiempo y revisarse una vez finalizada la intervención o colaboración.
8. Medidas técnicas de seguridad
Entre las medidas técnicas recomendadas se incluyen el uso de HTTPS/SSL, contraseñas robustas, autenticación multifactor cuando sea posible, antivirus, firewall, actualizaciones periódicas, copias de seguridad, control de accesos, bloqueo de intentos de acceso sospechosos y herramientas de protección frente a malware o spam.
Las medidas técnicas podrán adaptarse en función de los sistemas utilizados, el hosting contratado, la evolución tecnológica y las necesidades reales del negocio.
Cuando sea posible, se activarán mecanismos de protección adicional como autenticación de doble factor, limitación de intentos de acceso, bloqueo de IPs sospechosas, protección frente a spam en formularios, registro de actividad y alertas ante cambios relevantes en la configuración del sitio web o de las cuentas críticas.
Las medidas de seguridad deberán revisarse especialmente antes de activar funcionalidades sensibles como área privada de clientes, tienda online, pasarelas de pago, financiación, CRM, automatizaciones, píxeles publicitarios o herramientas de inteligencia artificial conectadas a formularios.
9. Seguridad del sitio web y hosting
La web se aloja en Webempresa o proveedor equivalente, procurando utilizar servicios profesionales que ofrezcan medidas de seguridad razonables, disponibilidad, copias de seguridad, protección frente a malware y soporte técnico.
El sitio web deberá funcionar bajo protocolo HTTPS, con certificado SSL activo y configuración orientada a proteger las comunicaciones entre el navegador del usuario y el servidor.
Se recomienda mantener registros técnicos básicos del hosting y del sitio web para detectar errores, accesos anómalos, intentos de ataque, caídas de servicio o comportamientos sospechosos. Estos registros deberán utilizarse únicamente con finalidad de seguridad, soporte técnico, prevención del fraude y cumplimiento normativo.
Cuando se utilicen servicios de protección perimetral, firewall de aplicaciones web, CDN, sistemas antimalware o herramientas equivalentes, deberán configurarse de forma proporcional al riesgo y sin instalar tecnologías no necesarias sin la correspondiente información al usuario cuando proceda.
10. Seguridad de WordPress, plugins y formularios
Cuando la web utilice WordPress, se deberán mantener actualizados el núcleo del sistema, los temas y los plugins. Se recomienda instalar únicamente plugins necesarios, procedentes de fuentes confiables y revisados periódicamente.
Los formularios deberán transmitir información mediante conexión segura, incluir las aceptaciones legales correspondientes y evitar solicitar datos excesivos o innecesarios para la finalidad perseguida.
Los accesos administrativos deberán limitarse a personas autorizadas. Se recomienda cambiar las credenciales por defecto, limitar intentos de acceso e implementar doble factor de autenticación cuando sea posible.
Los formularios deberán incorporar medidas razonables contra spam, bots, inyecciones de código, envíos automatizados y abuso del sistema, como validaciones de campos, límites de envío, herramientas antispam o sistemas tipo reCAPTCHA o Cloudflare Turnstile cuando resulte necesario.
Deberá conservarse, cuando técnicamente sea posible, un registro de los envíos de formularios que permita identificar fecha, hora, origen del formulario, servicio solicitado, estado del envío y evidencias básicas de aceptación legal, evitando almacenar datos excesivos o innecesarios.
11. Seguridad de cuentas, contraseñas y accesos
Las contraseñas deberán ser robustas, únicas y no reutilizarse en distintos servicios. Se recomienda utilizar gestores de contraseñas y activar autenticación de doble factor en correo electrónico, hosting, WordPress, pasarelas de pago y herramientas críticas.
Queda prohibido compartir contraseñas por canales inseguros. Cuando una persona deje de colaborar con el proyecto, deberán revisarse y revocarse sus accesos.
Para cuentas críticas, especialmente administrador de WordPress, hosting, correo corporativo, pasarelas de pago, CRM, automatizaciones y herramientas de gestión de datos, la autenticación multifactor deberá activarse siempre que la herramienta lo permita.
Los permisos deberán revisarse periódicamente y de forma inmediata cuando una persona deje de colaborar, cambie de funciones o exista sospecha de uso indebido de credenciales.
12. Seguridad del correo corporativo y comunicaciones
Los correos corporativos deberán utilizarse de forma profesional y segura. Se recomienda activar medidas antispam, antivirus, autenticación de dominio cuando proceda y doble factor de autenticación.
No se deberán abrir enlaces o archivos sospechosos. Las comunicaciones que incluyan datos personales o información sensible deberán realizarse únicamente por canales autorizados y con las precauciones necesarias.
Se recomienda configurar mecanismos de autenticación del dominio de correo, como SPF, DKIM y DMARC cuando el proveedor lo permita, con el fin de reducir riesgos de suplantación, phishing y entrega fraudulenta de comunicaciones en nombre de Ofertas de Fibra Óptica.
Los correos con datos personales, presupuestos, pedidos, facturas o información contractual deberán enviarse únicamente a las direcciones facilitadas por el usuario o cliente y con las comprobaciones razonables cuando exista duda sobre la identidad del destinatario.
13. Seguridad de WhatsApp, teléfono, Google Meet y Zoom
Las comunicaciones por WhatsApp, teléfono, Google Meet o Zoom se utilizarán para atender solicitudes, coordinar citas, asesorar al cliente y prestar servicios. Cuando se compartan datos personales por estos medios, deberán tratarse con confidencialidad y únicamente para la finalidad informada.
No se grabarán llamadas o videollamadas sin informar previamente al usuario y, cuando sea necesario, obtener su consentimiento. Las herramientas de videoconferencia deberán configurarse con buenas prácticas de seguridad, como enlaces privados, control de acceso y no publicación de enlaces en espacios abiertos.
Cuando se utilicen WhatsApp, llamadas o videollamadas como canal de atención, se deberá evitar solicitar o conservar documentación innecesaria. Si el cliente remite documentos, imágenes o datos personales por estos canales, deberán incorporarse únicamente al expediente o sistema correspondiente cuando resulten necesarios para gestionar la solicitud.
Las conversaciones relevantes para una contratación, incidencia, cita o soporte podrán quedar documentadas mediante registros internos proporcionados, respetando la finalidad informada, los plazos de conservación y el acceso restringido.
14. Seguridad de la tienda online y pagos
La tienda online deberá funcionar mediante conexión segura. Los pagos con PayPal, Visa y Mastercard se gestionarán a través de pasarelas de pago seguras. Ofertas de Fibra Óptica no almacenará datos completos de tarjetas bancarias cuando el pago sea procesado por proveedores externos.
Los pedidos podrán ser revisados para prevenir fraude, suplantación, uso indebido de medios de pago o compras sospechosas. Cuando existan indicios razonables de fraude, el pedido podrá ser retenido, cancelado o sometido a verificación adicional.
Para la prevención del fraude en compras, el sistema podrá conservar evidencias técnicas asociadas al pedido, como fecha, hora, dirección IP, identificador de sesión, estado del pago, método de pago utilizado, cambios de estado del pedido y comunicaciones relevantes con el cliente.
La tienda online no deberá almacenar datos completos de tarjetas bancarias si el pago es gestionado por pasarelas externas. La gestión de cobros, devoluciones y disputas deberá apoyarse en proveedores de pago seguros y en los registros necesarios para acreditar la operación.
15. Seguridad en marketing digital, campañas y call center
En servicios de marketing digital, captación de leads, distribución de campañas y call center, los datos tratados deberán utilizarse únicamente para la finalidad autorizada por el cliente o por la base jurídica aplicable.
Las bases de datos comerciales deberán gestionarse de forma segura, evitando accesos no autorizados, copias innecesarias, descargas sin control o uso para fines distintos a los contratados. Los colaboradores de call center deberán respetar la confidencialidad y las instrucciones recibidas.
Cuando se gestionen bases de datos de leads o campañas de terceros, deberá verificarse que existe una base jurídica adecuada para contactar con dichas personas. Los datos no deberán reutilizarse para fines propios o distintos a los contratados sin una legitimación válida.
Si Ofertas de Fibra Óptica actúa como encargado del tratamiento para otra empresa, deberán documentarse las instrucciones del cliente, las medidas de seguridad aplicables, las personas autorizadas y la devolución o supresión de los datos al finalizar el servicio cuando corresponda.
16. Seguridad en automatizaciones e inteligencia artificial
Cuando se utilicen automatizaciones, flujos o herramientas de inteligencia artificial, se procurará limitar los datos personales introducidos a los estrictamente necesarios y evitar el uso de información sensible salvo que sea imprescindible y esté jurídicamente habilitado.
Las herramientas de IA deberán utilizarse con criterio profesional, verificando los resultados antes de su aplicación en procesos comerciales, documentales o de atención al cliente.
No deberán introducirse en herramientas de inteligencia artificial datos personales sensibles, documentos de identidad, información bancaria, datos de salud, contraseñas, credenciales o información confidencial de clientes, salvo que exista una base jurídica clara, necesidad real, garantías suficientes y autorización adecuada.
Las decisiones comerciales o contractuales relevantes no deberán basarse exclusivamente en respuestas generadas por IA sin revisión humana. Las automatizaciones deberán configurarse para reducir errores, evitar respuestas engañosas y permitir intervención humana cuando el usuario lo solicite o el caso lo requiera.
17. Copias de seguridad y continuidad del negocio
Se recomienda disponer de copias de seguridad periódicas de la web, bases de datos, documentos relevantes y configuraciones esenciales. Las copias deberán almacenarse de forma segura y, cuando sea posible, en ubicaciones separadas del sistema principal.
En caso de fallo técnico, pérdida de información o incidente grave, se activarán medidas de recuperación razonables para restaurar la continuidad del servicio dentro de las posibilidades técnicas disponibles.
Las copias de seguridad deberán probarse periódicamente mediante restauraciones de prueba o verificaciones razonables, ya que una copia no comprobada puede no servir para recuperar la actividad ante un incidente.
Se recomienda conservar copias separadas de la web, bases de datos, configuraciones esenciales, documentos legales, plantillas, registros de pedidos y evidencias relevantes, aplicando medidas de protección frente a accesos no autorizados.
18. Gestión de incidencias y brechas de seguridad
Toda incidencia de seguridad deberá registrarse internamente, indicando fecha, descripción, sistemas afectados, personas implicadas, medidas adoptadas y resultado de la gestión.
Si la incidencia afecta a datos personales y puede suponer un riesgo para los derechos y libertades de las personas, se analizará la obligación de notificarla a la Agencia Española de Protección de Datos y, cuando proceda, a los interesados, conforme al RGPD.
Ejemplos de incidencias: acceso no autorizado, pérdida de dispositivos, envío erróneo de información, malware, phishing, robo de credenciales, pérdida de datos, modificación no autorizada o caída grave del sistema.
Cuando la incidencia afecte a datos personales, deberá evaluarse con rapidez el alcance, la categoría de datos afectados, el número aproximado de personas, las posibles consecuencias y las medidas adoptadas. Si procede la notificación a la autoridad de control, se realizará sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que se tenga constancia de la brecha.
Aunque una incidencia no sea notificable, deberá documentarse internamente cuando afecte a la seguridad, disponibilidad, confidencialidad o integridad de la información, dejando constancia de la evaluación realizada y de las medidas correctoras aplicadas.
19. Registro, trazabilidad y conservación de evidencias
Cuando sea técnicamente posible, se conservarán evidencias relacionadas con formularios, consentimientos, pedidos, registros de cuenta, comunicaciones relevantes, reservas de citas y aceptación de condiciones.
La trazabilidad podrá incluir fecha, hora, formulario utilizado, versión de condiciones aceptadas, canal de contacto y demás datos necesarios para acreditar el proceso, siempre respetando la normativa de protección de datos y los plazos de conservación aplicables.
De forma orientativa, los registros de auditoría podrán incluir: usuario o identificador interno, fecha y hora, dirección IP cuando se registre, navegador o dispositivo, acción realizada, formulario o módulo afectado, valor anterior y nuevo cuando proceda, estado de la operación y resultado del envío o proceso.
Deberán registrarse, cuando sea técnicamente posible y proporcional, eventos como accesos al área privada, intentos fallidos, cambios de contraseña, cambios de datos de cliente, envíos de formularios, aceptación de políticas, altas o bajas de newsletter, pedidos, pagos, reservas, cancelaciones, cambios administrativos y modificaciones de ofertas o productos.
Los registros de auditoría deberán protegerse frente a modificaciones o eliminaciones no autorizadas. Su acceso deberá limitarse a personas autorizadas y su conservación deberá ajustarse a los plazos necesarios para seguridad, cumplimiento normativo, atención de reclamaciones y defensa de derechos.
20. Responsabilidad del usuario
El usuario será responsable de facilitar información veraz, custodiar sus credenciales, no compartir su cuenta con terceros, comunicar accesos sospechosos, mantener actualizados sus datos y utilizar la web de forma lícita.
Ofertas de Fibra Óptica no será responsable de daños derivados del uso indebido de las credenciales del usuario, salvo que legalmente corresponda responsabilidad al titular.
21. Proveedores, encargados y terceros
La actividad puede requerir proveedores como hosting, correo electrónico, pasarelas de pago, empresas de transporte, operadores de telecomunicaciones, distribuidores, fabricantes, herramientas de videoconferencia, proveedores de marketing o soporte técnico.
Cuando estos terceros traten datos personales por cuenta de Ofertas de Fibra Óptica, deberán actuar como encargados del tratamiento y ofrecer garantías suficientes de cumplimiento normativo y seguridad.
Antes de contratar o activar herramientas que traten datos personales, se procurará revisar sus condiciones de privacidad, ubicación del tratamiento, medidas de seguridad, subencargados, transferencias internacionales y disponibilidad de contrato de encargo del tratamiento cuando sea necesario.
Los proveedores que dejen de prestar servicio deberán perder el acceso a los sistemas, cuentas, bases de datos o documentación de Ofertas de Fibra Óptica, salvo que exista una obligación legal o contractual que justifique su conservación limitada.
22. Formación, concienciación y buenas prácticas
Toda persona con acceso a información deberá conocer las reglas básicas de seguridad y confidencialidad. Se recomienda realizar revisiones periódicas, recordatorios internos y formación básica sobre phishing, contraseñas, protección de datos y uso seguro de herramientas digitales.
La seguridad de la información no depende solo de la tecnología, sino también de los hábitos de trabajo, la prudencia y la correcta gestión de los accesos.
23. Auditoría, revisión y mejora continua
Esta política deberá revisarse al menos una vez al año o cuando se produzcan cambios relevantes en la web, herramientas, proveedores, procesos, servicios, normativa aplicable o nivel de riesgo.
Las mejoras detectadas durante incidencias, auditorías o revisiones internas deberán incorporarse progresivamente al sistema de seguridad.
La revisión de seguridad deberá incluir, al menos, permisos de usuarios, plugins instalados, formularios activos, logs relevantes, copias de seguridad, sistemas de pago, herramientas de marketing, integraciones de IA, CRM, cuentas de correo y proveedores con acceso a datos.
Cuando se realicen cambios importantes en la web, como activación de tienda online, financiación, píxeles publicitarios, área privada, automatizaciones, CRM o nuevas campañas comerciales, se recomienda revisar previamente el impacto en seguridad y protección de datos.
24. Legislación aplicable
Esta política se interpreta conforme a la legislación española y europea aplicable, incluyendo el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD), la Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE) y demás normativa que resulte aplicable.
25. Contacto
Para cualquier consulta relacionada con esta Política de Seguridad de la Información, incidencias de seguridad o protección de datos, el usuario puede contactar escribiendo a rgpd@ofertasdefibraoptica.es.