VamiReverse Trust Center

Seguridad, compliance y soberanía — con total transparencia.

VamiReverse es la plataforma multiagente de VamiSec asistida por IA para ingeniería inversa y análisis de malware — para analistas que examinan apps de Android y programas de Windows y Linux; actualmente en fase beta. Este Trust Center muestra cómo protegemos los datos, dónde alojamos y cómo desarrollamos de forma segura.

Certificado ISO/IEC 27001:2022 SGSI de VamiSec GmbH · Proks Certification GmbH (acreditada por DAkkS) · certificado n.º DE-IS-20250191 · válido hasta el 18 de septiembre de 2028 Descargar el certificado (PDF) ⤓

Ver documentos security@vamisec.com

OperadorVamiSec GmbH · Bonn, Alemania

HostingT Cloud Public · Alemania

Notificar incidente de seguridadsecurity@vamisec.com

Actualizado13 de octubre de 2026

EstadoBeta

01 — Compliance & certificaciones

Construido sobre bases certificadas.

VamiReverse es operado por VamiSec GmbH, cuyo sistema de gestión de seguridad de la información está certificado conforme a ISO/IEC 27001 por un organismo acreditado por DAkkS. Indicamos de forma transparente qué está certificado, qué está en preparación y qué corresponde a un atestado de la plataforma de hosting.

ISO/IEC 27001

SGSI de VamiSec GmbH — certificado por Proks Certification GmbH (acreditada por DAkkS), válido hasta 09/2028.

Certificado

ISO/IEC 42001

Sistema de gestión de IA de VamiSec en desarrollo — certificación ISO/IEC 42001 en preparación.

En preparación

RGPD / GDPR

Contrato de encargo del tratamiento conforme al art. 28 del RGPD bajo petición (privacy@vamisec.com), subencargados divulgados.

DPA bajo petición

BSI C5 · ISO 27001 · TISAX

Atestado, label & certificados de la plataforma operativa T Cloud Public (Deutsche Telekom).

Plataforma de hosting

ISO 14001

Sistema de gestión ambiental de VamiSec GmbH implantado según ISO 14001:2026 — certificación en preparación.

En preparación

EcoVadis

Calificación de sostenibilidad de VamiSec GmbH — insignia Committed, obtenida en octubre de 2026.

Insignia Committed

02 — Hosting & soberanía digital

Alojado de forma soberana en Alemania — bajo el derecho europeo.

Para la modalidad SaaS, VamiReverse se basa en T Cloud Public (antes Open Telekom Cloud) de Deutsche Telekom — una nube soberana europea, exclusivamente en centros de datos en Alemania. Los datos y registros de la plataforma están sujetos al derecho europeo; la parte contratante, el derecho aplicable y el fuero son alemanes. El lugar de tratamiento de las funciones de IA depende del modelo de lenguaje seleccionado; el acceso se realiza mediante inicio de sesión único (SSO) con Microsoft Entra ID.

Solo centros de datos en AlemaniaRegión twin-core Biere/Magdeburg (Sajonia-Anhalt) — hosting exclusivamente en Alemania, dentro del marco jurídico de la UE.

Modelo de lenguaje a elegirPara las funciones de IA, VamiReverse prevé la elección entre el Qwen3.8 local y un LLM público como Claude (Anthropic) u OpenAI; un LLM público trata las solicitudes en EE. UU. Le indicamos de antemano qué modelos están activos en su despliegue.

LLM local en Sankt AugustinVamiSec opera Qwen3.8 en su centro de datos de Sankt Augustin — las solicitudes a este modelo permanecen en Alemania, sin proveedor de IA externo.

On-premise en su clúster de KubernetesComo alternativa a la modalidad SaaS: operación de VamiReverse en el clúster de Kubernetes de su organización — bajo petición.

T Cloud PublicDeutsche Telekom · nube soberana

BSI C5 Tipo II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), centros de datos ISO 27001

Certificados, atestados y labels de la plataforma de hosting (Deutsche Telekom), emitidos por auditores independientes — no de VamiSec GmbH. Fuente: certificados y atestados de T Cloud Public.

03 — Controles de seguridad

Cómo protegemos — por dominios.

Controles concretos en lugar de marketing — estado de la fase beta actual de VamiReverse. Más detalles bajo petición en security@vamisec.com.

Seguridad de los datos

En modalidad SaaS, datos almacenados exclusivamente en centros de datos en Alemania
La conservación, la supresión y el cifrado se rigen por el DPA, que facilitamos bajo petición
Tratamos los datos personales contenidos en sus artefactos como encargado del tratamiento conforme al art. 28 del RGPD
Sin entrenamiento con datos de clientes — ni para modelos propios ni para modelos de IA externos

Seguridad de las aplicaciones

Secure SDLC desde los requisitos hasta la operación (detalles abajo)
Modelado de amenazas según STRIDE y — para los agentes de IA — MAESTRO
Revisión de código y pruebas automatizadas antes de integrar los cambios

Acceso & identidad

Inicio de sesión único (SSO) con Microsoft Entra ID
Modelo de inicio de sesión, autenticación multifactor y asignación de permisos: detalles bajo petición

Infraestructura

Hosting soberano en T Cloud Public (DE)
Evidencias de la plataforma: atestado BSI C5, certificado ISO/IEC 27001 y label TISAX (AL 3) de Deutsche Telekom
Operación on-premise en el clúster de Kubernetes de su organización: bajo petición

Herramientas de análisis autoalojadas

Análisis estático con herramientas de código abierto operadas por nosotros, como Ghidra, ILSpy, jadx, capa, Detect It Easy y YARA
Las bases de conocimiento como MITRE ATT&CK y CWE se mantienen como copias locales
Para el análisis no enviamos sus artefactos a los editores de estas herramientas y bases de conocimiento; información sobre consultas opcionales de threat intelligence bajo petición

Gestión de incidentes

Proceso de respuesta a incidentes definido
Notificación al cliente con el objetivo de un informe en 24 horas
Divulgación responsable a través de bugbounty.vamisec.com · security.txt

Gobernanza de la IA & human-in-the-loop

Los resultados de la IA son hipótesis de trabajo y deben ser revisados por una persona cualificada antes de utilizarlos
La IA asiste a sus analistas en lugar de sustituirlos
Política de IA de VamiSec; sistema de gestión de la IA según ISO/IEC 42001 en implantación

Organización & gobernanza

SGSI certificado según ISO/IEC 27001 (DAkkS)
Formaciones de concienciación en seguridad para todo el personal
Procesos de gestión de proveedores y de riesgos

Continuidad de negocio

Plataforma de hosting con certificado ISO 22301 (BCM) de Deutsche Telekom
Copias de seguridad y recuperación: los detalles se rigen por el DPA (bajo petición)
Operación en T Cloud Public en centros de datos en Alemania

04 — Ciclo de vida seguro de desarrollo de software

Desarrollamos con la misma seguridad con la que auditamos.

Para VamiReverse, la seguridad forma parte del proceso de desarrollo — desde los requisitos hasta el despliegue.

Security Requirements Engineering

Los requisitos de seguridad y protección de datos se incorporan a la planificación de nuevas funcionalidades.

Threat Modeling

Modelado de amenazas según STRIDE y — para componentes de IA/agénticos — MAESTRO.

Revisión de código

Los cambios se revisan antes de integrarse — con atención a la seguridad y la protección de datos.

Pruebas automatizadas

La batería de pruebas automatizadas se ejecuta en la CI con cada pull request.

Despliegue

En modalidad SaaS en T Cloud Public en Alemania; operación en el clúster de Kubernetes de su organización bajo petición.

Divulgación responsable

Recibimos los avisos de vulnerabilidades a través de bugbounty.vamisec.com y security@vamisec.com; los datos de contacto son legibles por máquina en security.txt (RFC 9116).

05 — Subencargados

Con total transparencia — quién trata qué datos.

Recurrimos a un número deliberadamente reducido de subencargados cuidadosamente seleccionados e indicamos para cada uno la finalidad y la región de tratamiento. Comunicamos cualquier cambio a nuestros clientes con antelación.

Telekom Deutschland aloja exclusivamente en centros de datos en Alemania; Telekom presta los servicios de operación y soporte desde Estados miembros de la UE. Microsoft (Entra ID) trata los datos dentro del Límite de datos de la UE (EU Data Boundary); cualquier acceso desde terceros países está cubierto por las cláusulas contractuales tipo de la UE (CCT). Anthropic y OpenAI solo intervienen en la medida en que su despliegue utilice un LLM público a través de VamiSec. En ese caso, tratan las solicitudes en EE. UU. (API directa) sobre la base de las cláusulas contractuales tipo de la UE (CCT) y, conforme a sus condiciones contractuales, no las utilizan para entrenamiento.

Subencargado	Finalidad	Región
Telekom Deutschland GmbH T Cloud Public	Hosting & infraestructura de VamiReverse — solo en modalidad SaaS	DE
Microsoft Ireland Operations Limited Microsoft Entra ID	Inicio de sesión único (SSO) — cuando las cuentas de usuario se gestionan en el inquilino de Entra de VamiSec	UE
Anthropic Claude (API)	Modelo de lenguaje para las funciones de IA — en la medida en que su despliegue utilice un LLM público a través de VamiSec; sin uso para entrenamiento según las condiciones contractuales del proveedor	EE. UU.
OpenAI API de OpenAI	Modelo de lenguaje para las funciones de IA — en la medida en que su despliegue utilice un LLM público a través de VamiSec; sin uso para entrenamiento según las condiciones contractuales del proveedor	EE. UU.

No es un subencargado: VamiSec opera por sí misma el modelo de lenguaje local Qwen3.8 en su propio centro de datos de Sankt Augustin (Alemania). Las herramientas de análisis como Ghidra, jadx o YARA también se operan internamente y no son subencargados.

Lista completa y siempre actualizada de subencargados, incluido el contacto para notificaciones de cambios: privacy@vamisec.com.

06 — Documentos & evidencias

VamiSec GmbH, operador de VamiReverse, cuenta con un sistema de gestión ambiental (SGA/EMS) documentado según ISO 14001:2026. Está integrado con nuestro SGSI certificado según ISO/IEC 27001 en un sistema de gestión integrado, y nuestro compromiso con la sostenibilidad lo evalúa además externamente EcoVadis.

Sistema de gestión ambiental según ISO 14001:2026Política ambiental, registros de aspectos ambientales y de requisitos legales, objetivos ambientales medibles con indicadores y una responsabilidad EMS claramente asignada.

Integrado con el SGSIEl EMS utiliza los procesos de nuestro SGSI certificado según ISO/IEC 27001, desde la gestión de cambios y acciones correctivas hasta la revisión por la dirección conjunta.

Certificación en preparaciónLa certificación ISO 14001 por una entidad acreditada por DAkkS está en preparación; la auditoría está planificada para 2027.

EcoVadis Committed – Sustainability Rating

EcoVadisCalificación de sostenibilidad · Insignia Committed 2026

En la calificación de sostenibilidad de EcoVadis, VamiSec GmbH obtuvo la insignia Committed en octubre de 2026, un reconocimiento a su mejora continua en materia de sostenibilidad.

La calificación y el sistema de gestión ambiental se refieren a VamiSec GmbH como empresa, que desarrolla y opera VamiReverse.

08 — FAQ

Preguntas frecuentes de la due diligence.

¿Dónde se almacenan nuestros datos?

En la modalidad SaaS, almacenamos los datos de la plataforma VamiReverse exclusivamente en centros de datos situados en Alemania; la parte contratante, el derecho aplicable y el fuero son alemanes. Cuando una función recurre a proveedores externos —por ejemplo, para identidad o IA—, indicamos el proveedor, la finalidad y la región de tratamiento en la tabla de subencargados.

¿Está VamiReverse certificado según ISO 27001?

La certificación ISO/IEC 27001 se aplica al sistema de gestión de la seguridad de la información (SGSI) de VamiSec GmbH, que desarrolla y opera VamiReverse — ISO/IEC 27001 certifica sistemas de gestión, no productos individuales. El certificado fue emitido por Proks Certification GmbH, acreditada por DAkkS (certificado DE-IS-20250191, ISO/IEC 27001:2022, válido hasta el 18 de septiembre de 2028). El alcance indicado en el certificado (redactado en alemán) es, en traducción: «prestación de servicios de consultoría en seguridad de la información, los productos digitales asociados y las instalaciones de procesamiento de la información de apoyo …» — el certificado no nombra productos individuales.

¿Cómo se autentican los usuarios?

El acceso a VamiReverse se realiza mediante inicio de sesión único (SSO) con Microsoft Entra ID. Los detalles sobre el modelo de inicio de sesión, la autenticación multifactor y la asignación de permisos están disponibles bajo petición en security@vamisec.com.

¿Qué modelos de IA utiliza VamiReverse y tienen acceso a nuestros datos?

Para las funciones de IA — por ejemplo, nombrar variables en el código descompilado o formular hipótesis sobre comportamiento y vulnerabilidades — VamiReverse prevé la elección del modelo de lenguaje: el Qwen3.8 local en el centro de datos de VamiSec en Sankt Augustin o un LLM público como Claude (Anthropic) u OpenAI. Le indicamos de antemano qué modelos están activos en su despliegue. VamiSec opera el modelo local por sí misma; las solicitudes a este modelo permanecen en Alemania. Con un LLM público, el proveedor trata las solicitudes en EE. UU. sobre la base de las cláusulas contractuales tipo de la UE y, conforme a sus condiciones contractuales, no las utiliza para entrenamiento. El análisis estático en sí se ejecuta con herramientas operadas por nosotros, como Ghidra, jadx o YARA; los resultados de la IA son hipótesis de trabajo que sus analistas revisan.

¿Cómo se nos informa en caso de un incidente de seguridad?

Seguimos un proceso definido de respuesta a incidentes y notificamos con prontitud a los clientes afectados — con el objetivo de un primer informe en 24 horas. Los investigadores de seguridad pueden contactarnos a través de security@vamisec.com y bugbounty.vamisec.com; los datos de contacto son legibles por máquina según RFC 9116 en /.well-known/security.txt.

¿Se utilizan nuestros datos para entrenar modelos de IA?

No. No utilizamos los datos de clientes como datos de entrenamiento: no entrenamos ni ajustamos (fine-tuning) ningún modelo de IA con ellos, y solo conectamos modelos de IA externos bajo condiciones contractuales que excluyen su uso para entrenamiento. En la tabla de subencargados indicamos si VamiReverse recurre a proveedores de IA externos y a cuáles.

¿Cómo obtenemos acceso a los documentos confidenciales?

Los documentos públicos están disponibles directamente. Para la declaración de aplicabilidad, el whitepaper de seguridad o los cuestionarios cumplimentados basta con una breve solicitud a security@vamisec.com; los documentos sujetos a NDA se facilitan una vez firmado el acuerdo.

¿Qué datos trata VamiReverse?

VamiReverse trata los artefactos que usted sube — apps de Android (APK) y programas de Windows y Linux (PE/ELF) — y los datos de análisis derivados: código descompilado, cadenas y metadatos, IOC, reglas de detección (YARA, Sigma, Suricata), correspondencias con MITRE ATT&CK e informes de análisis. Los artefactos pueden contener datos personales; usted sigue siendo el responsable del tratamiento y nosotros los tratamos por encargo conforme al art. 28 del RGPD. Para el inicio de sesión tratamos además los datos de cuenta de sus usuarios procedentes de Microsoft Entra ID, por ejemplo, nombre y correo electrónico profesional. La conservación y la supresión se rigen por el DPA, que facilitamos bajo petición (privacy@vamisec.com).

¿Alguna pregunta más?

Hable con nuestro equipo.

Respondemos a sus preguntas de seguridad y compliance y le proporcionamos las evidencias que necesita su departamento de compras.

Reservar una demo security@vamisec.com