Seguridad: cómo protegemos tus datos y credenciales bancarias
Las credenciales del banco de tu comunidad solo se usan para descargar movimientos en modo de solo lectura a través de Nuek, se guardan cifradas y puedes revocarlas cuando quieras desconectando el banco desde la app o cambiando la contraseña de tu banca online.
Por Equipo de Junta de Propietarios · Publicado el · Última revisión:
¿Quién recibe las credenciales de tu banco y cómo se protegen?
Para descargar los movimientos de la cuenta de la comunidad necesitamos el usuario y la contraseña de su banca online. Con ellas solo se hace una cosa: pedir los extractos de la cuenta a Nuek (Morpheus Aiolos S.L.U.), el proveedor de servicios de información sobre cuentas (AISP, normativa PSD2) inscrito en el Banco de España con el n.º 6901 que se conecta con el banco. El acceso es de solo lectura: con él no se pueden hacer pagos ni transferencias.
- Se envían a Nuek únicamente cuando hay que descargar movimientos: al conectar el banco, en la sincronización diaria automática y cuando pulsas «Sincronizar».
- Se guardan cifradas (AES-256-GCM). Las claves de cifrado no se almacenan en la base de datos.
- Cada vez que se descifran queda un registro interno (quién o qué proceso, cuándo y para qué), sin guardar nunca la credencial.
- Nunca se escriben en los registros de la aplicación ni se envían a ningún otro proveedor.
- El formulario del banco no las guarda en tu navegador: se borran del formulario en cuanto se envían.
¿Cómo se revoca el acceso al banco?
Puedes retirar el acceso en cualquier momento, de dos formas complementarias:
- Desconectar el banco desde la app (menú de tu perfil → desconectar banco). Se borran las credenciales cifradas y los movimientos descargados, y no se vuelve a contactar con el banco.
- Cambiar la contraseña de la banca online en tu banco. Las credenciales guardadas dejan de funcionar de inmediato; la app te pedirá reconectar.
Si cancelas la suscripción, los datos de la cuenta se tratan como se explica en las preguntas frecuentes y en la Política de Privacidad.
¿Qué otras medidas de seguridad hay?
- Conexión cifrada (HTTPS) obligatoria en todo el sitio.
- Contraseñas de usuario guardadas con hash (bcrypt), nunca en texto plano.
- Verificación anti-bots (Cloudflare Turnstile) y límite de intentos en el acceso, el registro y la recuperación de contraseña.
- Cierre de sesión automático tras una hora sin actividad.
- Cada comunidad solo ve sus propios datos: las comprobaciones de permisos se hacen en el servidor en cada petición.
- Alojamiento en Microsoft Azure, dentro de la Unión Europea.
¿Cómo se notifica una vulnerabilidad?
Si crees haber encontrado un fallo de seguridad, avísanos desde el formulario de contacto eligiendo «Seguridad» (también figura en /.well-known/security.txt). Incluye una descripción, los pasos para reproducirlo y su posible impacto.
Te pedimos que, mientras lo investigamos:
- no accedas, modifiques ni borres datos de otros usuarios o comunidades;
- no realices pruebas de denegación de servicio, ingeniería social ni spam;
- no hagas público el fallo hasta que lo hayamos corregido.
Te confirmaremos la recepción y te mantendremos informado de la corrección. No emprenderemos acciones contra quien nos informe de buena fe respetando estas pautas.
Esta guía es informativa y no sustituye el asesoramiento jurídico. Las citas legales enlazan al texto consolidado del BOE; consulta siempre la versión vigente y los estatutos de tu comunidad.