Seguridad técnica y cross-refs UE

El artículo 32 del RGPD obliga a los responsables y encargados del tratamiento de datos a implementar "las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo". No es una obligación genérica: el artículo lista categorías específicas que incluyen la pseudonimización, el cifrado, la garantía de confidencialidad e integridad de los sistemas, y la capacidad de restaurar disponibilidad y acceso a datos.

En términos web, eso se traduce en una serie de configuraciones técnicas verificables de forma pasiva — sin acceso al backend — que AptoEU evalúa como parte del screening:

DNS y email: - *SPF (Sender Policy Framework):* registro DNS que declara qué servidores están autorizados a enviar email en nombre de tu dominio. Sin SPF, cualquiera puede suplantar tu dirección de email (spoofing). - *DKIM (DomainKeys Identified Mail):* firma criptográfica que verifica que el email no fue alterado en tránsito. - *DMARC (Domain-based Message Authentication, Reporting, and Conformance):* política que instruye a los servidores receptores sobre qué hacer con emails que fallan SPF/DKIM. Sin DMARC en modo "reject" o "quarantine", el dominio es vulnerable a phishing.

Headers HTTP: - *HSTS (HTTP Strict Transport Security):* fuerza conexiones HTTPS incluso si el usuario intenta conectarse por HTTP. - *CSP (Content Security Policy):* limita qué recursos puede cargar el navegador, reduciendo el riesgo de XSS. - *X-Frame-Options / X-Content-Type-Options:* headers anti-clickjacking y anti-MIME-sniffing. - *Atributos Secure/HttpOnly/SameSite en cookies:* reducen la superficie de ataque de las cookies de sesión.

Cross-references UE: - *AFIP:* cruzamos tu nombre de empresa y CUIT contra el padrón AFIP para verificar identidad legal. Inconsistencias entre lo declarado en el sitio y el registro fiscal son señales de riesgo. - *RASFF (Rapid Alert System for Food and Feed):* alertas europeas sobre productos alimentarios con problemas de seguridad o no conformidad. Si tu empresa o producto aparece en RASFF, el importador europeo probablemente ya lo sabe. - *Safety Gate (GPSR):* el sistema de alertas rápidas de productos de consumo peligrosos de la UE. Relevante para exportadores de productos físicos.