Seguridad de Bingolea

Bingolea funciona sobre una infraestructura en la nube gestionada por proveedores profesionales con centros de datos certificados y ubicados preferentemente en la Unión Europea. Esto significa que la aplicación no depende de un ordenador concreto ni de un servidor doméstico: la información se aloja en instalaciones con redundancia eléctrica, de red y de almacenamiento, vigiladas las veinticuatro horas.

La información de cada asociación se mantiene aislada de la del resto de clientes mediante políticas de seguridad aplicadas en la propia base de datos, de modo que una cuenta solo puede acceder a sus propios datos.

Todo el tráfico entre el navegador del usuario y la plataforma viaja cifrado mediante HTTPS con certificados TLS actualizados. En la práctica, nadie que intercepte la conexión —por ejemplo en una red wifi pública— puede leer los datos intercambiados. Además, la información almacenada en los servidores se conserva cifrada en reposo.

Las contraseñas nunca se guardan tal cual. Se transforman mediante funciones criptográficas de derivación diseñadas específicamente para este fin, de manera que ni el equipo de Bingolea ni un eventual atacante con acceso a la base de datos podrían recuperarlas. Por este motivo, cuando un usuario olvida su contraseña no se la enviamos: se genera un enlace temporal de restablecimiento.

La plataforma aplica un modelo de permisos basado en roles: cada cuenta dispone únicamente de los privilegios necesarios para su función. Los roles de administración se conceden de forma restrictiva y se almacenan de manera separada del perfil del usuario, de modo que no pueden modificarse desde el navegador. Toda comprobación de permisos se realiza en el servidor, nunca en el dispositivo del usuario.

El acceso se gestiona mediante un proveedor de identidad especializado, con sesiones de duración limitada y renovación segura. Bingolea admite el acceso con correo y contraseña y el inicio de sesión con cuenta de Google, lo que permite a las asociaciones apoyarse en las medidas de seguridad ya configuradas en su cuenta corporativa, incluida la verificación en dos pasos.

Se realizan copias de seguridad automáticas y periódicas de la base de datos, almacenadas de forma cifrada y en una ubicación distinta de la del entorno de producción. Las copias se verifican para asegurar que pueden restaurarse correctamente y se conservan durante el periodo definido por la política de retención del proveedor de infraestructura.

Bingolea dispone de un procedimiento de recuperación que permite restaurar el servicio y los datos a partir de las copias de seguridad ante un incidente grave, como un fallo de infraestructura o una pérdida de información. El procedimiento define responsables, pasos y orden de restauración, y se revisa periódicamente para mantener su vigencia.

El estado de la plataforma se supervisa de forma continua: disponibilidad, errores de aplicación, rendimiento de la base de datos y comportamiento anómalo de las peticiones. Cuando se detecta una desviación relevante se genera un aviso automático para que el equipo técnico pueda intervenir lo antes posible, con frecuencia antes de que el usuario perciba la incidencia.

El sistema operativo, las bases de datos y los servicios gestionados se mantienen actualizados por los proveedores de infraestructura. Las dependencias de la aplicación se revisan con regularidad y las actualizaciones de seguridad se aplican con prioridad, especialmente aquellas clasificadas como críticas.

Se ejecutan análisis automáticos de las dependencias del proyecto y revisiones del código antes de cada despliegue. Las vulnerabilidades detectadas se clasifican por gravedad y se corrigen conforme a su nivel de riesgo, priorizando aquellas que pudieran afectar a los datos de los clientes.

Si detectas un problema de seguridad, agradecemos que nos lo comuniques de forma responsable a través del correo de contacto indicado en el Aviso Legal, sin divulgarlo públicamente hasta que haya sido resuelto.

• Validación de todos los datos recibidos para prevenir inyecciones de código y manipulación de peticiones.
• Limitación del número de intentos de acceso y de peticiones para mitigar ataques de fuerza bruta y abusos automatizados.
• Protección perimetral frente a denegación de servicio proporcionada por la infraestructura cloud.
• Cabeceras de seguridad en el navegador y protección de formularios frente a peticiones fraudulentas.
• Separación estricta entre entornos de desarrollo y producción, sin uso de datos reales en pruebas.

La plataforma registra las operaciones relevantes —inicios y cierres de sesión, creación e inicio de partidas, validaciones, compras de créditos y acciones administrativas— para garantizar la trazabilidad de la actividad y poder investigar cualquier incidencia. Estos registros se conservan durante el tiempo necesario para dichas finalidades y su acceso está restringido al personal autorizado.

Trabajamos para que la plataforma esté disponible cuando la necesitas, especialmente durante la celebración de una partida. El reproductor conserva el estado del evento, de modo que si se pierde momentáneamente la conexión o se cierra el navegador, la partida puede retomarse en el punto en que se encontraba. Las tareas de mantenimiento programado se realizan en franjas horarias de bajo uso y se comunican con antelación siempre que es posible.

• Utiliza una contraseña larga y exclusiva para Bingolea, o accede con tu cuenta de Google con verificación en dos pasos activada.
• No compartas tus credenciales: cada persona que necesite acceder debería hacerlo con su propia identidad.
• Cierra sesión cuando utilices un ordenador compartido, por ejemplo el del local donde se celebra el evento.
• Revisa periódicamente quién tiene acceso a la cuenta de la asociación y retira los accesos que ya no sean necesarios.
• Mantén actualizado el navegador y el sistema operativo de los dispositivos desde los que accedes.
• Desconfía de correos que soliciten tus credenciales: Bingolea nunca te pedirá la contraseña por correo ni por teléfono.

En Bingolea trabajamos de forma continua para mejorar la seguridad de la plataforma: revisamos nuestras prácticas, actualizamos la tecnología que utilizamos y aprendemos de cada incidencia. Consideramos la seguridad parte esencial del servicio, no un añadido.

No obstante, queremos ser transparentes: ningún sistema conectado a internet puede garantizar un riesgo cero. Por eso combinamos medidas preventivas, capacidad de detección y procedimientos de respuesta, y mantenemos una comunicación honesta con nuestros clientes ante cualquier situación que pudiera afectarles. Si tienes preguntas sobre cómo protegemos tu información, o necesitas documentación adicional para el expediente de tu asociación, puedes escribirnos y te responderemos con detalle.