Saltar al contenido
VamiAppSec Trust Center

Seguridad, compliance y soberanía — con total transparencia.

VamiAppSec es la plataforma de seguridad de aplicaciones de VamiSec GmbH, asistida por LLM, para el Secure SDLC — SAST, SCA, SBOM, escaneo de secretos, IaC y contenedores, además de DAST con IA a través del VamiDAST integrado. Este Trust Center muestra cómo protegemos los datos, dónde alojamos y cómo desarrollamos de forma segura.

Proks Certification – ISO/IEC 27001 Certified
Certificado ISO/IEC 27001:2022 SGSI de VamiSec GmbH · Proks Certification GmbH (acreditada por DAkkS) · certificado n.º DE-IS-20250191 · válido hasta el 18/09/2028 Descargar el certificado (PDF) ⤓
Ver documentos security@vamisec.com
OperadorVamiSec GmbH · Bonn, Alemania
HostingT Cloud Public · Alemania · u on-premise
Notificar un incidente de seguridadsecurity@vamisec.com
Actualizado13 de octubre de 2026
EstadoEn producción
01 — Compliance & certificaciones

Construido sobre bases certificadas.

VamiAppSec es operado por VamiSec GmbH, cuyo sistema de gestión de seguridad de la información está certificado conforme a ISO/IEC 27001 por un organismo acreditado por DAkkS. Indicamos de forma transparente qué está certificado, qué está en preparación y qué corresponde a un atestado de la plataforma de hosting.

ISO/IEC 27001

SGSI de VamiSec GmbH — certificado por Proks Certification GmbH (acreditada por DAkkS), válido hasta 09/2028.

Certificado

ISO/IEC 42001

Sistema de gestión de IA de VamiSec implantado — certificación ISO/IEC 42001 en preparación.

En preparación

RGPD / GDPR

Contrato de encargo del tratamiento (DPA) específico del producto conforme al art. 28 del RGPD bajo petición (privacy@vamisec.com), subencargados divulgados.

DPA bajo petición

BSI C5 · ISO 27001 · TISAX

Atestado, label & certificados de la plataforma operativa T Cloud Public — de Deutsche Telekom, no de VamiSec GmbH; aplicables en la modalidad SaaS.

Plataforma de hosting

ISO 14001

Sistema de gestión ambiental de VamiSec GmbH implantado según ISO 14001:2026 — certificación en preparación.

En preparación

EcoVadis

Calificación de sostenibilidad de VamiSec GmbH — insignia Committed, obtenida en octubre de 2026.

Insignia Committed
02 — Hosting & soberanía digital

Alojado de forma soberana en Alemania — bajo el derecho europeo.

En la modalidad SaaS, VamiAppSec se ejecuta en T Cloud Public (antes Open Telekom Cloud) de Deutsche Telekom — una nube soberana europea, exclusivamente en centros de datos en Alemania. Los datos y registros de la plataforma están sujetos al derecho europeo; la parte contratante es VamiSec GmbH, con sede en Bonn (Alemania). VamiAppSec es agnóstico respecto al LLM — usted elige el modelo de lenguaje para las funciones de IA: el Qwen3.8 local en el centro de datos de VamiSec en Sankt Augustin (así también el procesamiento de IA permanece en Alemania), Anthropic Claude u OpenAI con procesamiento en EE. UU., o su propio LLM (BYOLLM).

Solo centros de datos en AlemaniaRegión twin-core Biere/Magdeburg (Sajonia-Anhalt) — hosting exclusivamente en Alemania, dentro del marco jurídico de la UE.
On-premise en su clúster de KubernetesComo alternativa, toda la pila — escáneres, VamiDAST, DefectDojo y LLM — se ejecuta en su propio clúster de Kubernetes, sin servicios propietarios de proveedores cloud y, si es necesario, en air gap; Qwen3.8 utiliza entonces sus GPU.
LLM local en Sankt AugustinQwen3.8 es un modelo open-weight que VamiSec opera en GPU propias en su propio centro de datos de Sankt Augustin — allí solo se ejecuta el LLM, no la plataforma. Con el modelo local no interviene ninguna API de terceros países.
Anthropic Claude, OpenAI o su propio LLMSi elige Anthropic Claude u OpenAI a través de VamiSec, el proveedor procesa las solicitudes al LLM en EE. UU. (cláusulas contractuales tipo). Si conecta su propio LLM o su propia clave de API (BYOLLM), la relación contractual se establece directamente entre usted y el proveedor. No utilizamos los datos de clientes como datos de entrenamiento — independientemente del modelo elegido.
  • BSI C5 Tipo II (ISAE 3000)
  • ISO/IEC 27001, 27017, 27018, 27701
  • SOC 1/2/3, TISAX AL 3
  • ISO 22301 (BCM), centros de datos ISO 27001

Certificados, atestados y labels de la plataforma de alojamiento (Deutsche Telekom), emitidos por auditores independientes — no de VamiSec GmbH. Fuente: certificados y atestados de T Cloud Public.

03 — Controles de seguridad

Cómo protegemos — por dominios.

Controles concretos en lugar de marketing. Estas medidas forman parte de nuestro concepto de seguridad y se alinean con el SGSI de VamiSec.

Seguridad de los datos

  • Datos de la plataforma SaaS exclusivamente en T Cloud Public en Alemania — cifrados en reposo y en tránsito (TLS)
  • Plazos de supresión y conservación definidos, regulados en el DPA específico del producto — disponible bajo petición en privacy@vamisec.com
  • Minimización de datos: VamiDAST solo pasa a un prompt fragmentos de respuesta de 2 KB
  • Sin entrenamiento de IA con datos de clientes: no entrenamos ni ajustamos modelos con ellos; modelos externos conectados a través de VamiSec (Anthropic Claude, OpenAI) solo bajo condiciones contractuales que excluyen el entrenamiento

Seguridad de las aplicaciones

  • Secure SDLC desde los requisitos hasta la operación (detalles abajo)
  • Modelado de amenazas, revisión de código y pruebas automatizadas en la CI
  • Prueba de penetración de la plataforma realizada; resumen bajo petición

Acceso & credenciales

  • Las credenciales de los escaneos DAST autenticados nunca se registran ni se pasan a un prompt
  • Pruebas activas en producción solo en modo Pasivo o Seguro; el modo Agresivo, solo tras confirmar expresamente que el entorno no es de producción
  • Inicio de sesión en la plataforma SaaS con autenticación multifactor (MFA)

Infraestructura

  • Hosting soberano en T Cloud Public (DE)
  • Nativo de Kubernetes y ejecutable sin servicios propietarios de proveedores cloud — base para on-premise y air gap
  • Agnóstico respecto al LLM: Qwen3.8 local en GPU propias de VamiSec en Sankt Augustin, Anthropic Claude, OpenAI o su propio LLM (BYOLLM)

Registro & trazabilidad

  • Cada llamada al LLM se registra con la versión del modelo, el prompt y la salida
  • DefectDojo como sistema de referencia de los hallazgos — con deduplicación, aceptación de riesgos y registro de auditoría completo
  • Paquete de evidencias por release: decisiones de gate, SBOM (CycloneDX, SPDX), VEX/VDR y SARIF

Gestión de incidentes

  • Proceso de respuesta a incidentes definido
  • Notificación a los clientes afectados — los detalles se rigen por el DPA
  • Divulgación responsable a través de security@vamisec.com · security.txt

Gobernanza de la IA & human-in-the-loop

  • Asistido por LLM, no agéntico: el modelo enriquece, clasifica y propone correcciones — no actúa de forma autónoma
  • VamiDAST: motor determinista, IA únicamente en tres puntos acotados, cada salida de IA validada por esquema
  • Decide el ser humano: su PSIRT revisa los borradores VEX y las notificaciones CRA siguen siendo borradores sin envío automático

Organización & gobernanza

  • SGSI certificado según ISO/IEC 27001 (DAkkS)
  • Formaciones de concienciación en seguridad para todo el personal
  • Procesos de gestión de proveedores y de riesgos

Operación & continuidad

  • Operación como SaaS u on-premise — en air gap si es necesario
  • Disposiciones de copia de seguridad y recuperación bajo petición (security@vamisec.com)
  • Operación en T Cloud Public — región twin-core Biere/Magdeburg
04 — Ciclo de vida seguro de desarrollo de software

Desarrollamos con la misma seguridad con la que auditamos.

En VamiAppSec, la seguridad no es un paso posterior, sino que está integrada en cada fase del desarrollo — conforme al estado del arte, desde los requisitos hasta la operación.

01

Ingeniería de requisitos de seguridad

Los requisitos de seguridad y protección de datos se definen antes de la primera línea de código.

02

Modelado de amenazas

Modelado de amenazas de la plataforma según STRIDE por elemento.

03

Revisión de código

Los cambios se revisan antes de integrarse — con atención a la seguridad y la protección de datos.

04

Pruebas automatizadas

La batería de pruebas automatizadas se ejecuta en la CI con cada pull request.

05

Despliegue seguro

Contenedores, nativos de Kubernetes — como SaaS en T Cloud Public u on-premise en su clúster.

06

Pruebas de penetración

La plataforma se ha sometido a una prueba de penetración; hay un resumen disponible bajo petición.

05 — Subencargados

Con total transparencia — quién trata qué datos.

Recurrimos a un número deliberadamente reducido de subencargados cuidadosamente seleccionados e indicamos para cada uno la finalidad y la región de tratamiento. Comunicamos cualquier cambio a los clientes con antelación.

Telekom Deutschland GmbH trata los datos de la plataforma solo en la modalidad SaaS y exclusivamente en Alemania. Anthropic y OpenAI solo intervienen si elige un LLM público a través de VamiSec para las funciones de IA: el tratamiento se realiza entonces en EE. UU. (API directa) sobre la base de las cláusulas contractuales tipo de la UE (CCT); las condiciones contractuales de los proveedores excluyen el uso para entrenamiento.

Subencargado Finalidad Región
Telekom Deutschland GmbH
T Cloud Public		 Hosting & infraestructura de la plataforma SaaS en la región eu-de (Biere/Magdeburg) — solo en la modalidad SaaS DE
Anthropic
API de Claude (LLM público)		 Funciones de IA (enriquecimiento, triaje, propuestas de corrección, pasos de IA de VamiDAST) — solo si elige Anthropic como LLM público a través de VamiSec; sin uso para entrenamiento según las condiciones contractuales del proveedor EE. UU.
OpenAI
API de OpenAI (LLM público)		 Funciones de IA (enriquecimiento, triaje, propuestas de corrección, pasos de IA de VamiDAST) — solo si elige OpenAI como LLM público a través de VamiSec; sin uso para entrenamiento según las condiciones contractuales del proveedor EE. UU.

No es un subencargado: la propia VamiSec GmbH opera el Qwen3.8 local en GPU propias en su centro de datos de Sankt Augustin. Si conecta su propio LLM o su propia clave de API (BYOLLM), la relación contractual se establece directamente entre usted y el proveedor. En on-premise, toda la pila, incluido el LLM, se ejecuta en su clúster de Kubernetes — en ese caso tampoco interviene Telekom.

Preguntas sobre los subencargados: privacy@vamisec.com. La lista está disponible, legible por máquina, en /subprocessors.json.

06 — Documentos & evidencias

Todo lo que necesita para su evaluación.

Los documentos públicos están disponibles de inmediato. Las evidencias confidenciales se facilitan tras una breve solicitud o bajo NDA.

Público

Certificado ISO/IEC 27001

Certificado del SGSI de VamiSec (n.º DE-IS-20250191, ISO/IEC 27001:2022, válido hasta el 18 de septiembre de 2028), emitido por Proks Certification GmbH (acreditada por DAkkS).

Ver →
Público

Política de seguridad de la información

Política general de seguridad de la información con orientación estratégica (en inglés).

Ver →
Público

Política de IA

Política general de VamiSec GmbH sobre el uso responsable de la IA — base de nuestro sistema de gestión de la IA según ISO/IEC 42001, con referencia al Reglamento de IA de la UE y al RGPD (en inglés).

Ver →
Bajo petición

AVV / DPA

Contrato de encargo del tratamiento específico de VamiAppSec conforme al art. 28 del RGPD, con los plazos de supresión y conservación — disponible para su firma bajo petición.

Solicitar →
Bajo petición

Resumen del pentest

Resumen de la prueba de penetración de la plataforma.

Solicitar →
Bajo petición

Whitepaper de seguridad & arquitectura

Visión técnica de la arquitectura, la protección de accesos y el flujo de datos de VamiAppSec.

Solicitar →
Bajo NDA

CAIQ / cuestionario de seguridad

CAIQ y cuestionarios de seguridad habituales para su proceso de gestión de riesgos de proveedores — VamiSec los responde bajo NDA.

Solicitar →
Público

Notificar una vulnerabilidad (divulgación responsable)

Notifique las vulnerabilidades de seguridad de forma confidencial a security@vamisec.com — también legible por máquina a través de /.well-known/security.txt (RFC 9116).

Notificar →
Público

Políticas ambiental y de sostenibilidad

Política ambiental según ISO 14001 y política de sostenibilidad y ESG de VamiSec GmbH (en inglés).

Política ambiental (PDF) ↗ Política de sostenibilidad y ESG (PDF) ↗
07 — Gestión ambiental y sostenibilidad

Responsabilidad más allá de la seguridad de la información.

VamiSec GmbH, operador de VamiAppSec, cuenta con un sistema de gestión ambiental (SGA/EMS) documentado según ISO 14001:2026. Está integrado con nuestro SGSI certificado según ISO/IEC 27001 en un sistema de gestión integrado, y nuestro compromiso con la sostenibilidad lo evalúa además externamente EcoVadis.

Sistema de gestión ambiental según ISO 14001:2026Política ambiental, registros de aspectos ambientales y de requisitos legales, objetivos ambientales medibles con indicadores y una responsabilidad EMS claramente asignada.
Integrado con el SGSIEl EMS utiliza los procesos de nuestro SGSI certificado según ISO/IEC 27001, desde la gestión de cambios y acciones correctivas hasta la revisión conjunta por la dirección.
Certificación en preparaciónLa certificación ISO 14001 por una entidad acreditada por DAkkS está en preparación; la auditoría está planificada para 2027.

En la calificación de sostenibilidad de EcoVadis, VamiSec GmbH obtuvo la insignia Committed en octubre de 2026, un reconocimiento a su mejora continua en materia de sostenibilidad.

La calificación y el sistema de gestión ambiental se refieren a VamiSec GmbH como empresa, que desarrolla y opera VamiAppSec.

08 — FAQ

Preguntas frecuentes de la due diligence.

¿Dónde se almacenan nuestros datos?
En la modalidad SaaS, almacenamos los datos de la plataforma VamiAppSec exclusivamente en centros de datos situados en Alemania (T Cloud Public, Biere/Magdeburg); en on-premise, permanecen en su propio entorno. Con el Qwen3.8 local, también el procesamiento de IA permanece en Alemania. Si elige Anthropic Claude u OpenAI a través de VamiSec para las funciones de IA, las solicitudes al LLM se procesan en EE. UU.; el proveedor, la finalidad y la región figuran en la tabla de subencargados. Con su propio LLM (BYOLLM), usted determina el proveedor y el lugar de procesamiento.
¿Está VamiAppSec certificado según ISO 27001?
VamiAppSec es operado por VamiSec GmbH, cuyo SGSI está certificado según ISO/IEC 27001 por un organismo acreditado por la DAkkS. VamiAppSec como producto no dispone de un certificado propio. Según el certificado, el alcance comprende la «prestación de servicios de consultoría en el ámbito de la seguridad de la información, productos digitales asociados e instalaciones de apoyo para el tratamiento de la información destinadas al tratamiento de datos de clientes, infraestructura de TI y almacenamiento en la nube» (traducido del certificado alemán DE-IS-20250191, ISO/IEC 27001:2022, válido hasta el 18 de septiembre de 2028).
¿Qué datos trata VamiAppSec?
El código fuente de sus repositorios con sus dependencias, configuraciones de IaC y contenedores; a partir de ellos, hallazgos normalizados (CWE, CVSS, requisito OWASP, archivo, línea), secretos detectados con recomendación de rotación, así como SBOM (CycloneDX, SPDX) y VEX/VDR por release. Para VamiDAST se añaden endpoints, parámetros y las solicitudes y respuestas de la aplicación web o API en ejecución; para los gates del pipeline y la sincronización de tickets, datos de integración de sus sistemas de CI/CD y de tickets. Para los escaneos autenticados, VamiDAST trata credenciales (inicios de sesión por formulario, JWT, cookies, claves de API); nunca se registran ni se pasan a un prompt. Cada llamada al LLM se registra con la versión del modelo, el prompt y la salida.
¿Qué modelos de IA utiliza VamiAppSec y qué ven de nuestro código?
VamiAppSec es agnóstico respecto al LLM — usted elige el modelo: el Qwen3.8 local, que VamiSec opera en GPU propias en Sankt Augustin (on-premise en sus GPU), Anthropic Claude u OpenAI, con procesamiento en EE. UU., o su propio LLM (BYOLLM). El modelo elegido trata el contexto de los hallazgos y — para la revisión SAST semántica — código fuente; VamiDAST solo pasa a un prompt fragmentos de respuesta de 2 KB, nunca credenciales. VamiAppSec está asistido por LLM, no es agéntico: el modelo enriquece, clasifica y propone correcciones sin actuar de forma autónoma. Las decisiones de triaje, los falsos positivos y los resultados de las correcciones se incorporan como contexto a las ejecuciones futuras — esto no es entrenamiento de modelos. Cada llamada se registra con la versión del modelo, el prompt y la salida, y no utilizamos los datos de clientes como datos de entrenamiento.
¿Cómo se nos informa en caso de un incidente de seguridad?
Seguimos un proceso definido de respuesta a incidentes y notificamos con prontitud a los clientes afectados; los detalles se rigen por el DPA. Los investigadores de seguridad notifican las vulnerabilidades a security@vamisec.com — legible por máquina según RFC 9116 en /.well-known/security.txt.
¿Se utilizan nuestros datos para entrenar modelos de IA?
No. No utilizamos los datos de clientes como datos de entrenamiento: no entrenamos ni ajustamos (fine-tuning) ningún modelo de IA con ellos, y los modelos de IA externos que conectamos a través de VamiSec (Anthropic Claude, OpenAI) solo los utilizamos bajo condiciones contractuales que excluyen su uso para entrenamiento; estos proveedores figuran en la tabla de subencargados. Si conecta su propio LLM (BYOLLM), se aplican las condiciones de su contrato con el proveedor.
¿Cómo obtenemos acceso a los documentos confidenciales?
Los documentos públicos están disponibles directamente. Para los resúmenes de pentest, los whitepapers de arquitectura o los cuestionarios cumplimentados basta con una breve solicitud a security@vamisec.com; los documentos sujetos a NDA se facilitan una vez firmado el acuerdo.
¿Puede VamiDAST afectar a nuestro entorno de producción?
VamiDAST tiene tres modos: Pasivo (sin solicitudes que modifiquen el estado), Seguro (predeterminado) y Agresivo. Un bloqueo de seguridad clasifica cada solicitud activa y la bloquea en caso de duda. En producción solo están previstos los modos Pasivo y Seguro; el modo Agresivo solo puede usarse tras confirmar expresamente que no se trata de un entorno de producción. Todo lo controla un motor determinista — «El modelo aconseja — nunca dirige».
¿Podemos operar VamiAppSec por completo en nuestro propio entorno?
Sí. Además de la modalidad SaaS en T Cloud Public, toda la pila — escáneres, VamiDAST, DefectDojo y LLM — se ejecuta en su propio clúster de Kubernetes. VamiAppSec es nativo de Kubernetes y no utiliza servicios propietarios de proveedores cloud; si es necesario, es posible operar en air gap, y Qwen3.8 se ejecuta entonces en sus propias GPU.
¿Hace VamiAppSec que nuestro producto cumpla el CRA, el MDR o la IEC 62443?
No. VamiAppSec no certifica su producto — eso lo hacen su organismo notificado, su servicio técnico o su auditor. VamiAppSec proporciona evidencias generadas automáticamente para cada release, por ejemplo para normativas y estándares como el CRA, el MDR o la IEC 62443: SBOM, VEX/VDR, decisiones de gate y exportaciones de auditoría. VamiAppSec prepara las notificaciones CRA según el art. 14 solo como borradores precumplimentados para su envío a través de la plataforma única de notificación de ENISA (Single Reporting Platform).
¿Cómo se regulan el inicio de sesión, el cifrado y los plazos de supresión?
En la modalidad SaaS, usted inicia sesión con autenticación multifactor (MFA). Sus datos están cifrados en reposo y en tránsito (TLS). Los plazos de supresión y conservación están definidos y regulados en el contrato de encargo del tratamiento (DPA) específico del producto conforme al art. 28 del RGPD, que puede solicitar en privacy@vamisec.com.
¿Alguna pregunta más?

Hable con nuestro equipo.

Respondemos a sus preguntas de seguridad y compliance y le proporcionamos las evidencias que necesita su departamento de compras.

Reservar una demo security@vamisec.com