Doowebs Dev, S.L. · Esquema Nacional de Seguretat (Reial decret 311/2022)
Versió 1.0, aprovada per la Direcció el 5 de novembre de 2026. Codi del document: DW-ENS-POL-01. Aquesta és una traducció al valencià; en cas de discrepància, preval la versió en castellà.
1. Aprovació i entrada en vigor
Aquesta política entra en vigor el dia de la seua aprovació per l’Administrador únic de Doowebs Dev, S.L. (CIF B01929470) i substitueix qualsevol norma anterior sobre seguretat de la informació. Estarà vigent fins que la substituïsca una nova versió aprovada.
La Direcció es compromet a dotar dels mitjans necessaris per a complir-la i a revisar-la almenys una vegada a l’any.
2. Introducció i objecte
Doowebs depèn de sistemes d’informació per a prestar els seus serveis, i els seus clients, entre els quals hi ha entitats del sector públic, confien que aquests sistemes protegisquen les seues webs, les seues dades i els seus accessos. Aquesta política fixa els principis, l’organització i les responsabilitats amb què Doowebs protegeix la informació i els serveis que presta.
El seu objectiu és protegir la disponibilitat, la integritat, la confidencialitat, l’autenticitat i la traçabilitat de la informació i dels serveis amb mesures proporcionades als riscos i a la categoria del sistema; prevenir els incidents de seguretat, detectar-los i reaccionar-hi amb rapidesa; i recuperar el servei quan es produïsquen (articles 8 i 9 del Reial decret 311/2022).
Doowebs adopta com a objectiu la conformitat amb l’Esquema Nacional de Seguretat en categoria MITJANA per al sistema descrit en l’apartat 4, acreditada mitjançant certificació per una entitat acreditada (article 38 del Reial decret 311/2022).
3. Missió i serveis
Doowebs és una agència amb seu a València que dissenya, desenvolupa, allotja i manté llocs i aplicacions web, principalment sobre WordPress, per a empreses privades i entitats del sector públic.
Els serveis afectats per aquesta política són:
- Desenvolupament de llocs web, aplicacions web i aplicacions mòbils, i de programari propi que s’instal·la en les webs dels clients, inclòs el que intervé en la seua facturació o en els seus pagaments.
- Allotjament (hosting) en servidors gestionats per Doowebs.
- Manteniment tècnic, actualitzacions, còpies de seguretat, monitoratge i suport de llocs web, tant si estan allotjats en Doowebs com en el proveïdor del client.
- Consultoria tecnològica i d’intel·ligència artificial, prestada amb la marca AI València.
- Formació i suport a clients, incloses les intervencions en les seues instal·lacions.
- Atenció i comunicació amb clients sobre aquests serveis.
AI València és una marca comercial de Doowebs Dev, S.L.; els serveis que es presten amb aquesta marca són responsabilitat de Doowebs i queden subjectes a aquesta política.
4. Abast
La política s’aplica al sistema d’informació «Serveis de desenvolupament, allotjament i manteniment web i de consultoria tecnològica de Doowebs», a tot el personal, i als proveïdors i col·laboradors que hi intervenen. El sistema comprèn els components següents:
| Component | Funció en el servei |
|---|---|
| Infraestructura d’allotjament | Servidors virtuals i panell de gestió d’allotjament on s’allotgen les webs i el correu dels clients; la infraestructura física la presta un proveïdor extern |
| Serveis de xarxa i protecció | DNS, servidor intermediari (proxy) i tallafocs d’aplicació web de les webs |
| Suite de correu i col·laboració | Correu corporatiu, documentació i comunicació amb clients |
| Repositoris de codi | Control de versions i desplegament del codi font |
| Plataforma de gestió de webs | Gestió centralitzada, actualitzacions, còpies i accés administratiu a les webs dels clients |
| Aplicació interna de gestió | Projectes, tiquets, serveis recurrents i portal de clients |
| Aplicació interna d’automatització | Agents automatitzats i entorns de staging |
| Sistema intern d’aprovacions | Aprovació i supervisió de tasques automatitzades |
| Sistema de facturació | Gestió econòmica i facturació a clients |
| Eines d’IA generativa | Assistents i agents d’IA, inclosos els seus connectors amb altres eines, per a desenvolupament, revisió de codi, redacció, anàlisi i consultoria |
| Eines de disseny | Disseny d’interfícies, prototips i material gràfic |
| Programari propi distribuït | Complements (plugins) desenvolupats per Doowebs i instal·lats en webs de clients |
| Plataformes utilitzades per compte del client | Passarel·les de pagament, serveis d’enviament de comunicacions, botigues d’aplicacions i serveis semblants contractats pel client i operats per Doowebs en nom seu |
| Dominis i llicències | Gestió de dominis i de llicències de programari de tercers utilitzades en les webs |
| Certificats digitals i signatura electrònica | Certificats de l’empresa i del seu representant per a tràmits amb administracions i clients |
| Gestió de credencials i accés remot | Gestor de contrasenyes corporatiu i xarxa privada virtual |
| Llocs de treball | Ordinadors i mòbils del personal, inclosos els entorns locals de desenvolupament |
| Ubicacions | Seu de Doowebs, espais de coworking, teletreball i intervencions en instal·lacions de clients |
El detall de eines, proveïdors, versions i ubicacions figura en l’inventari d’actius, que és d’ús intern i no es publica (mesura op.exp.1 del Reial decret 311/2022).
Queden fora de l’abast:
- La infraestructura dels clients allotjats en el seu propi proveïdor. El servei de manteniment que Doowebs els presta sí que hi està inclòs.
- Projectes aliens a l’activitat de l’empresa.
4.1 Abast dels compromisos
Aquesta política estableix els objectius, l’organització i els principis amb què Doowebs gestiona la seguretat. Les obligacions concretes davant de cada client (nivells de servei, terminis, mesures específiques, tractament de dades) són les que es recullen en el contracte corresponent i en l’encàrrec de tractament. Aquesta política no amplia aquestes obligacions ni genera drets per a tercers.
La seguretat absoluta no existeix. Doowebs aplica mesures proporcionades als riscos identificats i a la categoria del sistema, les documenta en la Declaració d’Aplicabilitat i les revisa d’acord amb l’apartat 13. Els riscos residuals es registren i els accepta la Direcció.
4.2 Responsabilitat compartida amb el client
Doowebs respon de la seguretat dels components que gestiona. El client respon dels components que gestiona ell o tercers contractats per ell: el seu propi allotjament, els comptes d’usuari que administra, el contingut que publica, els complements, fragments de codi o integracions que instal·la o manté pel seu compte, i les decisions que pren sobre el seu sistema.
Quan un client decidisca no aplicar una mesura recomanada per Doowebs (per exemple, no actualitzar programari sense suport, no activar una protecció, mantenir components propis o retardar una migració), Doowebs documentarà la recomanació i la decisió del client, i el risc derivat quedarà sota la responsabilitat d’aquest. El repartiment concret de responsabilitats es fixa en cada contracte.
5. Marc normatiu
Doowebs compleix la normativa aplicable a la seua activitat i, en particular:
- Reial decret 311/2022, de 3 de maig, pel qual es regula l’Esquema Nacional de Seguretat, i les seues instruccions tècniques de seguretat.
- Reglament (UE) 2016/679, general de protecció de dades.
- Llei orgànica 3/2018, de protecció de dades personals i garantia dels drets digitals.
- Llei 34/2002, de serveis de la societat de la informació i de comerç electrònic.
- Llei 9/2017, de contractes del sector públic, en els contractes amb entitats públiques.
- Reial decret legislatiu 1/1996, text refós de la Llei de propietat intel·lectual.
Com a referència tècnica s’utilitzen les guies CCN-STIC de la sèrie 800 del Centre Criptològic Nacional. La relació actualitzada de normes es manté en el registre de requisits legals del sistema.
6. Principis i requisits de seguretat
Doowebs aplica els principis bàsics de l’article 5 del Reial decret 311/2022:
- Seguretat com a procés integral: tècnica, organitzativa i humana alhora, no una tasca aïllada.
- Gestió basada en els riscos: les mesures es trien i es dimensionen segons l’anàlisi de riscos.
- Prevenció, detecció, resposta i conservació: s’eviten els incidents, es detecten aviat, es respon amb un procediment i es recupera el servei.
- Línies de defensa: diverses capes de protecció, de manera que la fallada d’una no comprometa el sistema.
- Vigilància contínua i reavaluació periòdica de les mesures.
- Diferenciació de responsabilitats: qui supervisa la seguretat és diferent de qui opera el sistema.
Per a portar-los a la pràctica, Doowebs es compromet a complir els requisits mínims de l’article 12.6, entre els quals:
- Accés a la informació només amb autorització, comptes nominatius i autenticació de doble factor en els accessos administratius.
- Mínim privilegi: cada persona té els permisos que la seua funció necessita, revisats periòdicament.
- Còpies de seguretat de les webs i dels sistemes, amb proves de restauració.
- Registre de l’activitat administrativa sobre els sistemes i les webs dels clients.
- Manteniment al dia de servidors, WordPress, temes i complements, i gestió de vulnerabilitats.
- Desenvolupament segur de webs, aplicacions i programari propi: revisió del codi i de les seues dependències, proves abans de passar a producció i separació entre entorns de desenvolupament, proves i producció (mesures mp.sw.1 i mp.sw.2).
- Continuïtat del servei: cap accés o coneixement crític depèn d’una sola persona; hi ha un accés d’emergència custodiat i documentat (article 12.6 i mesures op.cont).
- Agents d’intel·ligència artificial sota supervisió: qualsevol acció d’un agent que modifique sistemes en producció o webs de clients requereix l’aprovació d’una persona autoritzada i queda registrada al seu nom.
- Treball fora de l’oficina amb garanties: equips xifrats i amb bloqueig, i connexió mitjançant una xarxa privada virtual en xarxes no controlades per Doowebs (mesura mp.eq.3).
- Gestió dels incidents de seguretat i comunicació als clients afectats, amb un canal públic per a rebre avisos de vulnerabilitats en seguridad@doowebs.com (mesura op.exp.7).
- Formació i conscienciació del personal.
- Seguretat en la contractació i supervisió de proveïdors i col·laboradors.
- Millora contínua del sistema de gestió.
7. Organització de la seguretat
La seguretat s’organitza en rols amb funcions definides (articles 11 i 13 del Reial decret 311/2022 i guia CCN-STIC 801). Aquesta política defineix els rols; les persones que els ocupen es designen en una acta de nomenaments a banda, per a poder reassignar-los sense modificar la política.
7.1 Rols i funcions
| Rol | Funcions principals |
|---|---|
| Direcció | Aprova la política, assigna recursos, nomena els rols i accepta els riscos residuals |
| Responsable de la Informació i del Servici | Determina els requisits de seguretat de la informació tractada i dels serveis prestats i en valora els nivells en cada dimensió |
| Responsable de Seguretat | Determina les decisions per a satisfer aquests requisits, manté l’anàlisi de riscos i la Declaració d’Aplicabilitat, supervisa el compliment, coordina la gestió d’incidents i la formació, i informa la Direcció |
| Responsable del Sistema | Desenvlupa, opera i manté el sistema; aplica les mesures tècniques; pot suspendre un servei o un accés davant d’un risc greu, i n’informa el Responsable de Seguretat |
| Administrador de Seguretat del Sistema | Executa les tasques tècniques de seguretat: comptes i permisos, còpies, actualitzacions, registres i monitoratge |
| Punt de contacte (POC) | Interlocutor de seguretat davant dels clients; rep i comunica incidents i requisits de seguretat dels contractes (article 13.5) |
7.2 Regles de designació
- Una mateixa persona pot ocupar diversos rols, excepte el Responsable de Seguretat i el Responsable del Sistema, que seran sempre persones diferents (article 11).
- La Direcció pot reassignar els rols en qualsevol moment segons la càrrega de treball, mitjançant una nova acta de nomenaments. Cada canvi es comunica al personal i, si afecta el POC, als clients del sector públic.
- Les persones amb accés administratiu ampli, inclosa la Direcció, l’exerceixen amb compte nominatiu, doble factor i registre d’activitat, i les seues actuacions es revisen en el Comitè de Seguretat.
7.3 Comitè de Seguretat
El Comitè de Seguretat el formen totes les persones que ocupen els rols anteriors. Es reuneix almenys cada tres mesos i sempre que hi haja un incident greu o un canvi rellevant, i en deixa una acta breu.
Les seues funcions són revisar l’estat de la seguretat, els incidents i els riscos; aprovar les normes i els procediments que desenvolupen aquesta política; coordinar els responsables; i proposar a la Direcció les millores i els recursos necessaris.
7.4 Resolució de conflictes
Els desacords entre responsables es resolen en el Comitè de Seguretat. Si no hi ha acord, decideix la Direcció, i prevalen les exigències derivades de la protecció de les dades personals i dels contractes amb clients.
8. Dades personals
Doowebs tracta dades personals com a responsable (els seus clients, contactes i personal) i com a encarregada del tractament (les dades de les webs i aplicacions dels seus clients). En tots dos casos aplica el RGPD i la LOPDGDD, i les mesures de seguretat de l’ENS s’apliquen també a aquests tractaments (article 3 del Reial decret 311/2022).
En particular, quan s’utilitzen còpies de webs de clients en entorns de staging, de proves o de desenvolupament local, es protegiran amb les mataquestes mesures que producció o s’anonimitzaran les dades personals, i s’eliminaran quan deixen de ser necessàries. El registre d’activitats de tractament i els contractes d’encàrrec es mantenen a banda.
Abans d’acceptar un projecte que implique categories especials de dades (salut, menors o altres de l’article 9 del RGPD) o tractaments d’alt risc, el Responsable de Seguretat valorarà si el sistema s’ha de recategoritzar i quines mesures addicionals exigeix, i la Direcció decidirà si l’accepta.
9. Gestió de riscos
Tots els sistemes inclosos en l’abast se sotmeten a una anàlisi de riscos (article 14 i mesura op.pl.1 del Reial decret 311/2022), amb una metodologia reconeguda (MAGERIT, amb el suport de l’eina PILAR o µPILAR del CCN).
L’anàlisi es revisa almenys una vegada a l’any i sempre que canvien els serveis o la infraestructura o apareguen amenaces o incidents rellevants. El Responsable de Seguretat la manté; la Direcció aprova el tractament dels riscos i accepta formalment els riscos residuals.
10. Desenvolupament de la política
La política es desenvolupa en una estructura documental de tres nivells, accessible per al personal segons les seues necessitats:
- Política de seguretat (aquest document): aprovada per la Direcció.
- Normativa de seguretat: normes d’ús acceptable d’equips, comptes, correu, missatgeria, eines d’IA i serveis en el núvol. L’aprova el Comitè de Seguretat.
- Procediments i instruccions tècniques: com es fan les tasques concretes (altes i baixes d’accessos, còpies i restauració, actualitzacions, gestió d’incidents, gestió de canvis). Els aprova el Responsable de Seguretat.
També formen part del sistema l’inventari d’actius, la categorització del sistema, l’anàlisi de riscos, la Declaració d’Aplicabilitat i els registres que evidencien el compliment.
11. Obligacions del personal
Tot el personal de Doowebs coneix i compleix aquesta política i la normativa que la desenvolupa. En incorporar-se la signa, rep formació inicial de seguretat i, després, formació i conscienciació almenys una vegada a l’any (mesures mp.per.3 i mp.per.4).
Qualsevol persona que detecte un possible incident o una debilitat de seguretat ho comunica immediatament al Responsable de Seguretat. Les credencials són personals i intransferibles i no es comparteixen per xat, correu ni documents sense xifrar. L’incompliment d’aquesta política pot donar lloc a mesures disciplinàries d’acord amb la legislació laboral.
Els accessos es gestionen durant tot el cicle de vida de cada persona: es concedeixen en incorporar-se segons la seua funció, s’ajusten quan canvia de rol i es revoquen sense demora quan se’n va, incloses les credencials compartides que conegués, que es canvien (mesura op.acc.4).
La comunicació amb clients i les aprovacions de treball es fan pels canals corporatius definits en la normativa de seguretat. Cap canal, incloses les aplicacions de missatgeria, s’utilitza per a enviar credencials ni dades personals de clients.
12. Terceres parts
Quan Doowebs utilitze serveis de tercers (infraestructura, núvol, eines de gestió), els farà partícips d’aquesta política i exigirà, per contracte o mitjançant la verificació de les seues certificacions, un nivell de seguretat adequat al del sistema (mesures op.ext i op.nub.1 del Reial decret 311/2022). Es donarà preferència a proveïdors amb conformitat ENS o certificacions equivalents.
Quan Doowebs preste serveis a entitats del sector públic, s’ajustarà a la política de seguretat del client i als requisits del contracte, i designarà un punt de contacte per a la seguretat de la informació i del servei, accessible en seguridad@doowebs.com.
Els riscos derivats d’un proveïdor que no assolisca el nivell exigit es registren en l’anàlisi de riscos i es tracten o s’accepten formalment.
Les mataquestes exigències s’apliquen als col·laboradors externs (agències associades, professionals independents) i a les eines en prova a les quals es donen accessos o informació de clients: només reben els accessos imprescindibles, nominatius i temporals, amb un compromís de confidencialitat previ.
En acabar la relació amb un client, o quan aquest trasllade un servei a un altre proveïdor, Doowebs retorna o lliura la informació i el codi que li pertanyen, retira els seus propis accessos als sistemes del client i elimina les còpies i les dades en els terminis acordats en el contracte o, si no n’hi ha, en els que fixe la normativa de seguretat, i en deixa constància (mesura mp.si.5).
Les eines d’intel·ligència artificial generativa es tracten com a serveis de tercers. Només s’utilitzen amb comptes corporatius i plans les condicions dels quals exclouen l’ús de les dades per a entrenar models. No s’hi introdueixen credencials, claus ni dades personals de clients llevat que el contracte amb el client i l’encàrrec de tractament ho permeten. El detall es recull en la normativa d’ús acceptable.
13. Revisió, excepcions i millora contínua
El Comitè de Seguretat revisa aquesta política almenys una vegada a l’any, i també després de canvis rellevants en els serveis, l’organització o la normativa, o després d’un incident greu. Les propostes de canvi s’eleven a la Direcció perquè les aprove. La versió vigent es publica en la web de Doowebs i es comunica al personal.
La seguretat es gestiona com un procés de millora contínua. Les mesures s’implanten i es verifiquen de manera progressiva segons el pla d’adequació aprovat per la Direcció, i poden coexistir mesures ja implantades amb altres en curs. Quan una revisió, una auditoria o un incident detecte una desviació respecte d’aquesta política o dels seus procediments, es registra com a no-conformitat, se n’analitza la causa i se’n planifica la correcció amb un responsable i un termini. Aquest registre, juntament amb les actes del Comitè i les acceptacions de risc, constitueix l’evidència de la diligència de Doowebs en la gestió de la seguretat.
Aprovació
La Direcció de Doowebs Dev, S.L. va aprovar aquesta Política de Seguretat de la Informació a València, el 5 de novembre de 2026. L’original, signat electrònicament per l’Administrador únic, es conserva en el sistema de gestió de la seguretat de Doowebs i està a disposició dels clients i òrgans de contractació que el sol·liciten.
Contacte de seguretat
Per a comunicar un incident, una vulnerabilitat o qualsevol qüestió de seguretat de la informació: seguridad@doowebs.com.