Doowebs Dev, S.L. · Esquema Nacional de Seguridad (Real Decreto 311/2022)
Versión 1.0, aprobada por la Dirección el 5 de noviembre de 2026. Código del documento: DW-ENS-POL-01.
1. Aprobación y entrada en vigor
Esta política entra en vigor el día de su aprobación por el Administrador único de Doowebs Dev, S.L. (CIF B01929470) y sustituye a cualquier norma anterior sobre seguridad de la información. Estará vigente hasta que la sustituya una nueva versión aprobada.
La Dirección se compromete a dotar de los medios necesarios para cumplirla y a revisarla al menos una vez al año.
2. Introducción y objeto
Doowebs depende de sistemas de información para prestar sus servicios, y sus clientes, entre ellos entidades del sector público, confían en que esos sistemas protejan sus webs, sus datos y sus accesos. Esta política fija los principios, la organización y las responsabilidades con que Doowebs protege la información y los servicios que presta.
Su objetivo es proteger la disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad de la información y de los servicios con medidas proporcionadas a los riesgos y a la categoría del sistema; prevenir los incidentes de seguridad, detectarlos y reaccionar ante ellos con rapidez; y recuperar el servicio cuando ocurran (artículos 8 y 9 del RD 311/2022).
Doowebs adopta como objetivo la conformidad con el Esquema Nacional de Seguridad en categoría MEDIA para el sistema descrito en el apartado 4, acreditada mediante certificación por una entidad acreditada (artículo 38 del RD 311/2022).
3. Misión y servicios
Doowebs es una agencia con sede en València que diseña, desarrolla, aloja y mantiene sitios y aplicaciones web, principalmente sobre WordPress, para empresas privadas y entidades del sector público.
Los servicios afectados por esta política son:
- Desarrollo de sitios web, aplicaciones web y aplicaciones móviles, y de software propio que se instala en las webs de los clientes, incluido el que interviene en su facturación o en sus pagos.
- Alojamiento (hosting) en servidores gestionados por Doowebs.
- Mantenimiento técnico, actualizaciones, copias de seguridad, monitorización y soporte de sitios web, estén alojados en Doowebs o en el proveedor del cliente.
- Consultoría tecnológica y de inteligencia artificial, prestada bajo la marca AI València.
- Formación y soporte a clientes, incluidas las intervenciones en sus instalaciones.
- Atención y comunicación con clientes sobre esos servicios.
AI València es una marca comercial de Doowebs Dev, S.L.; los servicios prestados con ella son responsabilidad de Doowebs y quedan sujetos a esta política.
4. Alcance
La política se aplica al sistema de información «Servicios de desarrollo, alojamiento y mantenimiento web y de consultoría tecnológica de Doowebs», a todo el personal, a los proveedores y a los colaboradores que intervienen en él. El sistema comprende los siguientes componentes:
| Componente | Función en el servicio |
|---|---|
| Infraestructura de alojamiento | Servidores virtuales y panel de gestión de hosting donde se alojan las webs y el correo de clientes; la infraestructura física la presta un proveedor externo |
| Servicios de red y protección | DNS, proxy y cortafuegos de aplicación web de las webs |
| Suite de correo y colaboración | Correo corporativo, documentación y comunicación con clientes |
| Repositorios de código | Control de versiones y despliegue del código fuente |
| Plataforma de gestión de webs | Gestión centralizada, actualizaciones, copias y acceso administrativo a las webs de clientes |
| Aplicación interna de gestión | Proyectos, tickets, servicios recurrentes y portal de clientes |
| Aplicación interna de automatización | Agentes automatizados y entornos de staging |
| Sistema interno de aprobaciones | Aprobación y supervisión de tareas automatizadas |
| Sistema de facturación | Gestión económica y facturación a clientes |
| Herramientas de IA generativa | Asistentes y agentes de IA, incluidos sus conectores con otras herramientas, para desarrollo, revisión de código, redacción, análisis y consultoría |
| Herramientas de diseño | Diseño de interfaces, prototipos y material gráfico |
| Software propio distribuido | Plugins desarrollados por Doowebs e instalados en webs de clientes |
| Plataformas usadas por cuenta del cliente | Pasarelas de pago, servicios de envío de comunicaciones, tiendas de aplicaciones y servicios similares contratados por el cliente y operados por Doowebs en su nombre |
| Dominios y licencias | Gestión de dominios y licencias de software de terceros usadas en las webs |
| Certificados digitales y firma electrónica | Certificados de la empresa y de su representante para trámites con administraciones y clientes |
| Gestión de credenciales y acceso remoto | Gestor de contraseñas corporativo y red privada virtual |
| Puestos de trabajo | Ordenadores y móviles del personal, incluidos los entornos locales de desarrollo |
| Ubicaciones | Sede de Doowebs, espacios de coworking, teletrabajo e intervenciones en instalaciones de clientes |
El detalle de herramientas, proveedores, versiones y ubicaciones figura en el inventario de activos, que es de uso interno y no se publica (medida op.exp.1 del RD 311/2022).
Quedan fuera del alcance:
- La infraestructura de los clientes alojados en su propio proveedor. El servicio de mantenimiento que Doowebs les presta sí está dentro.
- Proyectos ajenos a la actividad de la empresa.
4.1 Alcance de los compromisos
Esta política establece los objetivos, la organización y los principios con que Doowebs gestiona la seguridad. Las obligaciones concretas frente a cada cliente (niveles de servicio, plazos, medidas específicas, tratamiento de datos) son las que se recogen en el contrato correspondiente y en el encargo de tratamiento. Esta política no amplía esas obligaciones ni genera derechos para terceros.
La seguridad absoluta no existe. Doowebs aplica medidas proporcionadas a los riesgos identificados y a la categoría del sistema, las documenta en la Declaración de Aplicabilidad y las revisa conforme al apartado 13. Los riesgos residuales se registran y los acepta la Dirección.
4.2 Responsabilidad compartida con el cliente
Doowebs responde de la seguridad de los componentes que gestiona. El cliente responde de los componentes que gestiona él o terceros contratados por él: su propio hosting, las cuentas de usuario que administra, el contenido que publica, los plugins, fragmentos de código o integraciones que instala o mantiene por su cuenta, y las decisiones que toma sobre su sistema.
Cuando un cliente decida no aplicar una medida recomendada por Doowebs (por ejemplo, no actualizar software sin soporte, no activar una protección, mantener componentes propios o retrasar una migración), Doowebs documentará la recomendación y la decisión del cliente, y el riesgo derivado quedará bajo la responsabilidad de este. El reparto concreto de responsabilidades se fija en cada contrato.
5. Marco normativo
Doowebs cumple la normativa aplicable a su actividad y, en particular:
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, y sus instrucciones técnicas de seguridad.
- Reglamento (UE) 2016/679, General de Protección de Datos.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
- Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico.
- Ley 9/2017, de Contratos del Sector Público, en los contratos con entidades públicas.
- Real Decreto Legislativo 1/1996, texto refundido de la Ley de Propiedad Intelectual.
Como referencia técnica se usan las guías CCN-STIC de la serie 800 del Centro Criptológico Nacional. La relación actualizada de normas se mantiene en el registro de requisitos legales del sistema.
6. Principios y requisitos de seguridad
Doowebs aplica los principios básicos del artículo 5 del RD 311/2022:
- Seguridad como proceso integral: técnica, organizativa y humana a la vez, no una tarea aislada.
- Gestión basada en los riesgos: las medidas se eligen y dimensionan según el análisis de riesgos.
- Prevención, detección, respuesta y conservación: se evitan los incidentes, se detectan pronto, se responde con un procedimiento y se recupera el servicio.
- Líneas de defensa: varias capas de protección, de modo que el fallo de una no comprometa el sistema.
- Vigilancia continua y reevaluación periódica de las medidas.
- Diferenciación de responsabilidades: quien supervisa la seguridad es distinto de quien opera el sistema.
Para llevarlos a la práctica, Doowebs se compromete a los requisitos mínimos del artículo 12.6, entre ellos:
- Acceso a la información solo con autorización, cuentas nominativas y autenticación de doble factor en los accesos administrativos.
- Mínimo privilegio: cada persona tiene los permisos que su función necesita, revisados periódicamente.
- Copias de seguridad de las webs y sistemas, con pruebas de restauración.
- Registro de la actividad administrativa sobre los sistemas y las webs de clientes.
- Mantenimiento al día de servidores, WordPress, temas y plugins, y gestión de vulnerabilidades.
- Desarrollo seguro de webs, aplicaciones y software propio: revisión del código y de sus dependencias, pruebas antes de pasar a producción y separación entre entornos de desarrollo, pruebas y producción (medidas mp.sw.1 y mp.sw.2).
- Continuidad del servicio: ningún acceso o conocimiento crítico depende de una sola persona; existe un acceso de emergencia custodiado y documentado (artículo 12.6 y medidas op.cont).
- Agentes de inteligencia artificial bajo supervisión: cualquier acción de un agente que modifique sistemas en producción o webs de clientes requiere la aprobación de una persona autorizada y queda registrada a su nombre.
- Trabajo fuera de la oficina con garantías: equipos cifrados y con bloqueo, y conexión mediante red privada virtual en redes no controladas por Doowebs (medida mp.eq.3).
- Gestión de los incidentes de seguridad y comunicación a los clientes afectados, con un canal público para recibir avisos de vulnerabilidades en seguridad@doowebs.com (medida op.exp.7).
- Formación y concienciación del personal.
- Seguridad en la contratación y supervisión de proveedores y colaboradores.
- Mejora continua del sistema de gestión.
7. Organización de la seguridad
La seguridad se organiza en roles con funciones definidas (artículos 11 y 13 del RD 311/2022 y guía CCN-STIC 801). Esta política define los roles; las personas que los ocupan se designan en un acta de nombramientos aparte, para poder reasignarlos sin modificar la política.
7.1 Roles y funciones
| Rol | Funciones principales |
|---|---|
| Dirección | Aprueba la política, asigna recursos, nombra los roles y acepta los riesgos residuales |
| Responsable de la Información y del Servicio | Determina los requisitos de seguridad de la información tratada y de los servicios prestados y valora sus niveles en cada dimensión |
| Responsable de Seguridad | Determina las decisiones para satisfacer esos requisitos, mantiene el análisis de riesgos y la Declaración de Aplicabilidad, supervisa el cumplimiento, coordina la gestión de incidentes y la formación, e informa a la Dirección |
| Responsable del Sistema | Desarrolla, opera y mantiene el sistema; aplica las medidas técnicas; puede suspender un servicio o acceso ante un riesgo grave, informando al Responsable de Seguridad |
| Administrador de Seguridad del Sistema | Ejecuta las tareas técnicas de seguridad: cuentas y permisos, copias, actualizaciones, registros y monitorización |
| Punto de contacto (POC) | Interlocutor de seguridad ante los clientes; recibe y comunica incidentes y requisitos de seguridad de los contratos (artículo 13.5) |
7.2 Reglas de designación
- Una misma persona puede ocupar varios roles, salvo el Responsable de Seguridad y el Responsable del Sistema, que serán siempre personas distintas (artículo 11).
- La Dirección puede reasignar los roles en cualquier momento según la carga de trabajo, mediante una nueva acta de nombramientos. Cada cambio se comunica al personal y, si afecta al POC, a los clientes del sector público.
- Las personas con acceso administrativo amplio, incluida la Dirección, lo ejercen con cuenta nominativa, doble factor y registro de actividad, y sus actuaciones se revisan en el Comité de Seguridad.
7.3 Comité de Seguridad
El Comité de Seguridad lo forman todas las personas que ocupan los roles anteriores. Se reúne al menos cada tres meses y siempre que haya un incidente grave o un cambio relevante, y deja un acta breve.
Sus funciones son revisar el estado de la seguridad, los incidentes y los riesgos; aprobar las normas y procedimientos que desarrollan esta política; coordinar a los responsables; y proponer a la Dirección las mejoras y recursos necesarios.
7.4 Resolución de conflictos
Los desacuerdos entre responsables se resuelven en el Comité de Seguridad. Si no hay acuerdo, decide la Dirección, prevaleciendo las exigencias derivadas de la protección de los datos personales y de los contratos con clientes.
8. Datos personales
Doowebs trata datos personales como responsable (sus clientes, contactos y personal) y como encargada del tratamiento (los datos de las webs y aplicaciones de sus clientes). En ambos casos aplica el RGPD y la LOPDGDD, y las medidas de seguridad del ENS se aplican también a esos tratamientos (artículo 3 del RD 311/2022).
En particular, cuando se usen copias de webs de clientes en entornos de staging, de pruebas o de desarrollo local, se protegerán con las mismas medidas que producción o se anonimizarán los datos personales, y se eliminarán cuando dejen de ser necesarias. El registro de actividades de tratamiento y los contratos de encargo se mantienen aparte.
Antes de aceptar un proyecto que implique categorías especiales de datos (salud, menores u otras del artículo 9 del RGPD) o tratamientos de alto riesgo, el Responsable de Seguridad valorará si el sistema debe recategorizarse y qué medidas adicionales exige, y la Dirección decidirá sobre su aceptación.
9. Gestión de riesgos
Todos los sistemas del alcance se someten a un análisis de riesgos (artículo 14 y medida op.pl.1 del RD 311/2022), con una metodología reconocida (MAGERIT, con apoyo de la herramienta PILAR o µPILAR del CCN).
El análisis se revisa al menos una vez al año y siempre que cambien los servicios, la infraestructura o aparezcan amenazas o incidentes relevantes. El Responsable de Seguridad lo mantiene; la Dirección aprueba el tratamiento de los riesgos y acepta formalmente los riesgos residuales.
10. Desarrollo de la política
La política se desarrolla en una estructura documental de tres niveles, accesible para el personal según su necesidad:
- Política de seguridad (este documento): aprobada por la Dirección.
- Normativa de seguridad: normas de uso aceptable de equipos, cuentas, correo, mensajería, herramientas de IA y servicios en la nube. La aprueba el Comité de Seguridad.
- Procedimientos e instrucciones técnicas: cómo se hacen las tareas concretas (altas y bajas de accesos, copias y restauración, actualizaciones, gestión de incidentes, gestión de cambios). Los aprueba el Responsable de Seguridad.
También forman parte del sistema el inventario de activos, la categorización del sistema, el análisis de riesgos, la Declaración de Aplicabilidad y los registros que evidencian el cumplimiento.
11. Obligaciones del personal
Todo el personal de Doowebs conoce y cumple esta política y la normativa que la desarrolla. Al incorporarse la firma, recibe formación inicial de seguridad, y después formación y concienciación al menos una vez al año (medidas mp.per.3 y mp.per.4).
Cualquier persona que detecte un posible incidente o debilidad de seguridad lo comunica de inmediato al Responsable de Seguridad. Las credenciales son personales e intransferibles y no se comparten por chat, correo ni documentos sin cifrar. El incumplimiento de esta política puede dar lugar a medidas disciplinarias conforme a la legislación laboral.
Los accesos se gestionan durante todo el ciclo de vida de cada persona: se conceden al incorporarse según su función, se ajustan cuando cambia de rol y se revocan sin demora a su salida, incluidas las credenciales compartidas que conociera, que se cambian (medida op.acc.4).
La comunicación con clientes y las aprobaciones de trabajo se hacen por los canales corporativos definidos en la normativa de seguridad. Ningún canal, incluidas las aplicaciones de mensajería, se usa para enviar credenciales ni datos personales de clientes.
12. Terceras partes
Cuando Doowebs utilice servicios de terceros (infraestructura, nube, herramientas de gestión), les hará partícipes de esta política y exigirá, por contrato o mediante la verificación de sus certificaciones, un nivel de seguridad adecuado al del sistema (medidas op.ext y op.nub.1 del RD 311/2022). Se dará preferencia a proveedores con conformidad ENS o certificaciones equivalentes.
Cuando Doowebs preste servicios a entidades del sector público, se ajustará a la política de seguridad del cliente y a los requisitos del contrato, y designará un punto de contacto para la seguridad de la información y del servicio, accesible en seguridad@doowebs.com.
Los riesgos derivados de un proveedor que no alcance el nivel exigido se registran en el análisis de riesgos y se tratan o aceptan formalmente.
Las mismas exigencias se aplican a los colaboradores externos (agencias asociadas, profesionales independientes) y a las herramientas en prueba a las que se den accesos o información de clientes: solo reciben los accesos imprescindibles, nominativos y temporales, con un compromiso de confidencialidad previo.
Al terminar la relación con un cliente, o cuando este traslade un servicio a otro proveedor, Doowebs devuelve o entrega la información y el código que le pertenecen, retira sus propios accesos a los sistemas del cliente y elimina las copias y los datos en los plazos acordados en el contrato o, en su defecto, en los que fije la normativa de seguridad, dejando constancia de ello (medida mp.si.5).
Las herramientas de inteligencia artificial generativa se tratan como servicios de terceros. Solo se usan con cuentas corporativas y planes cuyas condiciones excluyan el uso de los datos para entrenar modelos. No se introducen en ellas credenciales, claves ni datos personales de clientes salvo que el contrato con el cliente y el encargo de tratamiento lo permitan. El detalle se recoge en la normativa de uso aceptable.
13. Revisión, excepciones y mejora continua
El Comité de Seguridad revisa esta política al menos una vez al año, y también tras cambios relevantes en los servicios, la organización o la normativa, o tras un incidente grave. Las propuestas de cambio se elevan a la Dirección para su aprobación. La versión vigente se publica en la web de Doowebs y se comunica al personal.
La seguridad se gestiona como un proceso de mejora continua. Las medidas se implantan y se verifican de forma progresiva según el plan de adecuación aprobado por la Dirección, y pueden coexistir medidas ya implantadas con otras en curso. Cuando una revisión, una auditoría o un incidente detecte una desviación respecto a esta política o a sus procedimientos, se registra como no conformidad, se analiza su causa y se planifica su corrección con un responsable y un plazo. Ese registro, junto con las actas del Comité y las aceptaciones de riesgo, constituye la evidencia de la diligencia de Doowebs en la gestión de la seguridad.
Aprobación
La Dirección de Doowebs Dev, S.L. aprobó esta Política de Seguridad de la Información en València, el 5 de noviembre de 2026. El original, firmado electrónicamente por el Administrador único, se conserva en el sistema de gestión de la seguridad de Doowebs y está a disposición de clientes y órganos de contratación que lo soliciten.
Contacto de seguridad
Para comunicar un incidente, una vulnerabilidad o cualquier cuestión de seguridad de la información: seguridad@doowebs.com.
Notificación de vulnerabilidades. Si detectas una vulnerabilidad en nuestros sistemas o en las webs que mantenemos, escríbenos a seguridad@doowebs.com con la descripción y los pasos para reproducirla. Acusaremos recibo en un plazo de 3 días hábiles, la analizaremos y te informaremos de su resolución. Pedimos no divulgarla públicamente hasta que esté corregida y no acceder a datos de terceros más allá de lo imprescindible para demostrarla.