EvaluaciónTodo lo que pide una revisión de seguridad, en dos archivos.
Un whitepaper de arquitectura y seguridad y un cuestionario de seguridad ya respondido, escritos a partir del servicio tal como funciona hoy. Cada respuesta remite al documento o al código que la respalda, y lo que no podemos demostrar figura como no afirmado.
Versión del 8 de noviembre de 2026Ambos archivos están en inglés.
Los dos archivos
Úsalos tal cual o copia las respuestas en tu propia plantilla de evaluación de proveedores.
Whitepaper de arquitectura y seguridad
Cómo viaja una solicitud desde tu sistema por nuestra entrada hasta el servicio regional y su base de datos, cómo se firman los recibos con las claves KMS propias de Trustvice y se conservan en una copia de escritura única, dónde viven los datos, quién puede acceder a qué y cómo gestionamos incidentes, vulnerabilidades y recuperación. Un apéndice enumera la evidencia de cada afirmación.
trustvice-security-whitepaper.md · Markdown, inglésDescargar .mdCuestionario de seguridad ya respondido
79 preguntas al estilo de los cuestionarios ligeros habituales, agrupadas por dominio, cada una con respuesta, una breve explicación y un enlace a la evidencia.
trustvice-security-questionnaire.csv · CSV, inglésDescargar .csvEl whitepaper y el cuestionario solo están disponibles en inglés. Si difieren de un documento legal, prevalece el documento legal.
Qué cubre el whitepaper
Describe el servicio tal como está construido, no una hoja de ruta. Cuando una protección es parcial, lo dice.
- Flujo de datos: sitio web, puerta de entrada de la API, los siete servicios regionales y sus bases de datos, el servidor MCP y los webhooks
- Quién guarda las claves de firma Ed25519 (Trustvice, en AWS KMS), cómo se publican sus mitades públicas y qué ocurre cuando KMS no está disponible
- Regiones y residencia de datos: qué es regional, qué se sirve desde EE. UU. y por qué una llamada nunca pasa a otra región
- Subencargados y cómo se anuncian los cambios
- Cifrado en tránsito y en reposo, en el proveedor y en la aplicación
- Control de acceso: claves de API, alcances y roles, OAuth para MCP, inicio de sesión y sesiones, y el acceso de nuestro propio personal
- Registros y el registro de auditoría de seguridad
- Disponibilidad, la página de estado, la gestión de incidentes y la notificación de brechas
- Divulgación de vulnerabilidades y plazos objetivo de respuesta
- Copias de seguridad y recuperación
- Lo que no afirmamos
- Un anexo que vincula cada afirmación con el documento y el archivo fuente que la respaldan
Cómo leer las respuestas
La columna de respuesta usa cuatro valores. Se mantienen en inglés en el archivo para que se ordenen y filtren igual para todos.
- Yes
- Existe hoy, como se describe en la explicación y en el documento enlazado.
- Partial
- Existe con un límite indicado, o solo en algunos planes. La explicación dice cuál.
- No
- No forma parte del servicio hoy.
- Not claimed
- No hacemos ninguna afirmación al respecto.
Los documentos que vinculan estas respuestas
El paquete resume. El texto vinculante está en estos documentos.
Anexo de tratamiento (DPA)
Condiciones de encargado, medidas de seguridad, aviso de brechas en 72 horas, auditorías y transferencias internacionales.
Leer el DPA →Subencargados
Cada proveedor que trata datos personales, qué hace y dónde, con 30 días de aviso de cambios.
Ver la lista →Modelo de seguridad
El modelo de amenazas: qué prueba un recibo, en qué confías en nosotros y los límites declarados.
Leer el modelo →Trust Center
Firma, residencia, disponibilidad, situación de cumplimiento y cada documento legal con su fecha.
Abrir el Trust Center →Divulgación responsable
Cómo reportar una vulnerabilidad, puerto seguro y nuestros plazos objetivo.
Leer la política →Regiones de datos
Las siete regiones y qué cruza entre regiones.
Ver las regiones →
Preguntas que el paquete no responde
Envíanos tu propio cuestionario y lo respondemos por escrito en 30 días, como establece el DPA. Los clientes Enterprise también pueden revisar la arquitectura con nosotros.