1. Nuestro enfoque

Nodzs es operado por BRAINDATUM SpA. Aplicamos medidas técnicas y organizativas proporcionales al riesgo para proteger cuentas, configuraciones y datos IoT frente a acceso no autorizado, alteración, pérdida o divulgación.

La seguridad es un proceso continuo. Revisamos controles, dependencias y procedimientos a medida que evoluciona la plataforma. Esta página describe prácticas generales y no expone configuraciones que puedan facilitar ataques.

2. Protección de la plataforma

• Cifrado en tránsito: las superficies públicas usan HTTPS/TLS y las conexiones MQTT administradas exigen transporte seguro.
• Aislamiento: los recursos se asocian a tenants y proyectos, con comprobaciones de autorización en backend.
• Control de acceso: permisos por rol, separación entre usuarios internos y externos, sesiones limitadas y revocación de acceso.
• Credenciales: contraseñas almacenadas mediante hash, secretos fuera del código y API keys tratadas como credenciales sensibles.
• Red: bases de datos, colas y workers permanecen en redes privadas; los servicios públicos se exponen mediante gateways controlados.
• Monitoreo: salud, capacidad, colas, infraestructura y eventos relevantes se observan para detectar fallos y comportamientos anómalos.
• Resiliencia: copias de seguridad, almacenamiento versionado y procedimientos de restauración y rollback.

3. Desarrollo y operación

• Revisión de cambios, pruebas automatizadas y comprobaciones antes de desplegar.
• Migraciones versionadas con preflight, backup y validación posterior.
• Dependencias y configuraciones separadas por entorno.
• Acceso operativo restringido y trazabilidad para acciones administrativas sensibles.
• Procedimientos de respuesta, contención, recuperación y comunicación de incidentes.

No declaramos certificaciones o auditorías externas que no hayan sido obtenidas. Un plan Industrial puede acordar requisitos, evidencias y controles adicionales por contrato.

4. Responsabilidad compartida

La organización cliente debe:

• usar contraseñas únicas y proteger dispositivos y cuentas de correo;
• mantener actualizados usuarios, roles, destinatarios, API keys y perfiles de conexión;
• revocar accesos y rotar credenciales cuando una persona deja la organización o exista sospecha de compromiso;
• limitar los datos enviados a lo necesario y configurar retención y enlaces compartidos de forma apropiada;
• mantener controles independientes para procesos industriales o de seguridad críticos.

5. Reportar una vulnerabilidad

Si crees haber encontrado una vulnerabilidad, envía un correo a legal@nodzs.com con el asunto “Reporte de seguridad Nodzs”. Incluye una descripción clara, el activo afectado, pasos reproducibles y el impacto estimado.

Confirmaremos la recepción y priorizaremos el reporte según su riesgo. Te pedimos dar tiempo razonable para investigar y corregir antes de divulgar públicamente. Actualmente Nodzs no mantiene un programa de recompensas económicas.

6. Incidentes y contacto

Ante un incidente confirmado, trabajaremos para contenerlo, preservar evidencia, recuperar el servicio y notificar a clientes o autoridades cuando corresponda legalmente. La información se ajustará a la naturaleza, alcance y evolución del incidente.

1. Our approach

Nodzs is operated by BRAINDATUM SpA. We apply technical and organizational measures proportionate to risk to protect accounts, configurations, and IoT data against unauthorized access, alteration, loss, or disclosure.

Security is an ongoing process. We review controls, dependencies, and procedures as the platform evolves. This page describes general practices without exposing configurations that could facilitate attacks.

2. Platform protection

• Encryption in transit: public surfaces use HTTPS/TLS, and managed MQTT connections require secure transport.
• Isolation: resources are associated with tenants and projects, with backend authorization checks.
• Access control: role-based permissions, separation of internal and external users, limited sessions, and access revocation.
• Credentials: hashed passwords, secrets kept outside source code, and API keys treated as sensitive credentials.
• Network: databases, queues, and workers remain on private networks; public services are exposed through controlled gateways.
• Monitoring: health, capacity, queues, infrastructure, and relevant events are observed to detect failures and anomalous behavior.
• Resilience: backups, versioned storage, and restoration and rollback procedures.

3. Development and operations

• Change review, automated testing, and pre-deployment checks.
• Versioned migrations with preflight, backup, and post-deployment validation.
• Dependencies and configuration separated by environment.
• Restricted operational access and traceability for sensitive administrative actions.
• Incident response, containment, recovery, and communication procedures.

We do not claim certifications or external audits we have not obtained. An Industrial plan may establish additional contractual requirements, evidence, and controls.

4. Shared responsibility

Customer organizations should:

• use unique passwords and protect devices and email accounts;
• keep users, roles, recipients, API keys, and connection profiles current;
• revoke access and rotate credentials when a person leaves or compromise is suspected;
• limit submitted data to what is necessary and configure retention and shared links appropriately;
• maintain independent controls for critical industrial or safety processes.

5. Report a vulnerability

If you believe you found a vulnerability, email legal@nodzs.com with the subject “Nodzs security report”. Include a clear description, the affected asset, reproducible steps, and estimated impact.

We will acknowledge receipt and prioritize the report based on risk. Please allow reasonable time to investigate and correct the issue before public disclosure. Nodzs does not currently operate a monetary bug bounty program.

6. Incidents and contact

For a confirmed incident, we will work to contain it, preserve evidence, restore service, and notify customers or authorities when legally required. Information will reflect the incident's nature, scope, and evolution.