Seguretat d’AIP Gestor

Aquest document resumeix, en llenguatge no tècnic, els controls de seguretat, privadesa i disponibilitat que AIP Gestor té implementats a dia d’avui. Última revisió: setembre de 2026.

És deliberadament un resum de què hi ha implementat, no un informe de proves d’intrusió ni un detall d’arquitectura interna: aquesta informació, per la seva pròpia naturalesa, es tracta com a confidencial. L’apartat 7 explica el perquè i què cal fer si es necessita més.

1. Aïllament de dades entre organitzacions

Cada ajuntament o empresa veu únicament els seus propis expedients, documents i converses. Aquesta separació s’aplica en dues capes independents, no en una sola comprovació.

• Capa d’aplicació: cada acció comprova a qui pertany el recurs abans de mostrar-lo o modificar-lo.
• Capa de base de dades: polítiques de seguretat per fila aplicades directament pel motor de base de dades, amb una connexió de l’aplicació sense privilegis d’administrador — de manera que un error en el codi de l’aplicació, per si sol, no bastaria per saltar-se l’aïllament.

2. Infraestructura i disponibilitat

• Servidors ubicats en territori de la Unió Europea, amb el disc xifrat en repòs.
• Tot el trànsit entre el navegador i la plataforma viatja xifrat (HTTPS/TLS); cap dada circula en clar.
• Cada component de la plataforma corre amb permisos mínims i límits de recursos propis, perquè un ús intensiu no afecti el servei d’altres clients.
• Còpies de seguretat periòdiques de la base de dades i dels documents.

3. Intel·ligència artificial d’acord amb el RGPD

• L’assistent integrat processa les dades a la regió europea del seu proveïdor de models — no fora de l’Espai Econòmic Europeu.
• Contracte d’encàrrec de tractament (DPA) signat amb aquest proveïdor.
• Minimització de dades: només s’envia al model allò estrictament necessari per a la tasca — mai el nom d’una persona física quan n’hi ha prou amb el de l’entitat sol·licitant.
• L’assistent està acotat al treball de l’expedient: no substitueix assessorament legal ni s’utilitza per tractar informació aliena a la subvenció.

4. Control d’accés i traçabilitat

• Rols diferenciats (persona client, coordinador d’organització, membre de departament, administració) amb permisos diferents, verificats a cada petició.
• Les accions sensibles — esborrats, canvis de permisos, descàrregues de documents — queden registrades: qui, quan i què.
• Les contrasenyes s’emmagatzemen xifrades; mai en text pla.

5. Procés de desenvolupament i desplegament

• Codi font sota control de versions, amb historial complet i inalterable de cada canvi.
• Cada canvi passa per proves automàtiques abans d’arribar a producció, incloses proves de seguretat executades contra una base de dades real, no simulada.
• Cada desplegament es verifica automàticament abans de donar-se per bo; si el servei no respon, el desplegament s’atura.
• Els canvis sobre la base de dades són atòmics: s’apliquen completament o no s’aplica cap, mai queda un canvi a mig fer.

6. Compliment normatiu

• Política de privadesa, política de cookies i política d’ús d’IA publicades i accessibles des del propi portal, en català i castellà.
• Declaració d’Aplicabilitat d’acord amb l’Esquema Nacional de Seguretat (ENS, RD 311/2022), categoria MITJANA — el marc d’obligat compliment per a sistemes que presten servei a les Administracions Públiques espanyoles.
• Sense transferències de dades fora de l’Espai Econòmic Europeu: l’únic punt que ho podia suposar —el processament d’IA— opera en regió europea (vegeu apartat 3).

7. Abast d’aquest document

• Què és: un resum de controls i pràctiques vigents, pensat per donar una base raonable de confiança abans de confiar dades a la plataforma.
• Què no és: no detalla configuració tècnica, arquitectura interna ni resultats de revisions de seguretat específiques — aquesta informació es tracta com a confidencial, precisament perquè continuï sent eficaç com a protecció.
• Què preval: en cas de discrepància, preval la documentació legal publicada al portal (política de privadesa, declaració ENS, política d’IA), no aquest resum.
• I si es necessita més: una revisió tècnica més detallada — per a un procés de contractació institucional, per exemple— es pot facilitar sota acord de confidencialitat.

Signatura

Luis Javier Liberata García — autor i responsable tècnic d’AIP Gestor, Consultoria de Tecnologia Aplicada. Document signat en nom propi, setembre de 2026. Contacte: info@consultoriatecnologia.com.