Vamiset Trust Center

Seguridad, compliance y soberanía — con total transparencia.

Vamiset es la solución de VamiSec para el descubrimiento de activos y el cumplimiento continuo, con conexiones de solo lectura a cuentas cloud, repositorios de código y BambooHR. Este Trust Center muestra cómo protegemos los datos, dónde alojamos y cómo desarrollamos de forma segura.

Certificado ISO/IEC 27001:2022 SGSI de VamiSec GmbH · Proks Certification GmbH (acreditada por DAkkS) · certificado n.º DE-IS-20250191 · válido hasta el 18 de septiembre de 2028 Descargar el certificado (PDF) ⤓

Ver documentos security@vamisec.com

OperadorVamiSec GmbH · Bonn, Alemania

HostingT Cloud Public · Alemania

Notificar incidente de seguridadsecurity@vamisec.com

Actualizado13 de octubre de 2026

EstadoEn producción

01 — Compliance & certificaciones

Construido sobre bases certificadas.

Vamiset es operado por VamiSec GmbH, cuyo sistema de gestión de seguridad de la información está certificado conforme a ISO/IEC 27001 por un organismo acreditado por DAkkS. Indicamos de forma transparente qué está certificado, qué está en preparación y qué corresponde a una atestación de la plataforma de hosting.

ISO/IEC 27001

SGSI de VamiSec GmbH — certificado por Proks Certification GmbH (acreditada por DAkkS), válido hasta 09/2028.

Certificado

ISO/IEC 42001

Sistema de gestión de IA de VamiSec en desarrollo — certificación ISO/IEC 42001 en preparación.

En preparación

RGPD / GDPR

Contrato de encargo del tratamiento (DPA) específico del producto conforme al art. 28 del RGPD — bajo petición en privacy@vamisec.com; subencargados publicados.

DPA del producto disponible

BSI C5 · ISO 27001 · TISAX

Atestación, etiqueta y certificados de la plataforma operativa T Cloud Public (Deutsche Telekom).

Plataforma de hosting

ISO 14001

Sistema de gestión ambiental de VamiSec GmbH implantado según ISO 14001:2026 — certificación en preparación.

En preparación

EcoVadis

Calificación de sostenibilidad de VamiSec GmbH — insignia Committed, obtenida en octubre de 2026.

Insignia Committed

02 — Hosting & soberanía digital

Alojado de forma soberana en Alemania — bajo el derecho europeo.

En modo SaaS, Vamiset se ejecuta en T Cloud Public (antes Open Telekom Cloud) de Deutsche Telekom — una nube soberana europea, exclusivamente en centros de datos en Alemania. Los datos de la plataforma están sujetos al derecho europeo; la parte contratante, el derecho aplicable y el fuero son alemanes. El inventario de activos, las instantáneas de configuración y los hallazgos residen en estos centros de datos; Vamiset no utiliza hoy ninguna función de IA.

Solo centros de datos en AlemaniaRegión Twin-Core Biere/Magdeburg (Sajonia-Anhalt) — hosting exclusivamente en Alemania, dentro del marco jurídico de la UE.

Modelos de operaciónSaaS en T Cloud Public; bajo petición, también operación en su propio clúster de Kubernetes (on-premise).

Acceso de solo lecturaVamiset conecta las cuentas cloud (AWS, Azure, GCP), los repositorios (GitHub, GitLab) y BambooHR exclusivamente con permisos de lectura.

Hoy sin función de IAVamiset es una herramienta de seguridad clásica sin función de IA. No utilizamos los datos de clientes como datos de entrenamiento.

T Cloud PublicDeutsche Telekom · nube soberana

BSI C5 Tipo II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), centros de datos ISO 27001

Certificados, atestaciones y etiquetas de la plataforma de alojamiento (Deutsche Telekom), emitidos por auditores independientes — no de VamiSec GmbH. Fuente: certificados y atestaciones de T Cloud Public.

03 — Controles de seguridad

Cómo protegemos — por dominios.

Información concreta en lugar de marketing: aquí figura lo que se aplica hoy a Vamiset; más detalles técnicos, bajo petición. Las medidas se alinean con el SGSI de VamiSec.

Seguridad de los datos

En modo SaaS, datos de la plataforma exclusivamente en centros de datos en Alemania
Plazos de eliminación y conservación definidos, regulados en el contrato de encargo del tratamiento (DPA) específico de Vamiset (bajo petición en privacy@vamisec.com)
Cifrado de los datos en reposo (at rest) y en tránsito (TLS)
Sin entrenamiento con datos de clientes — ni para modelos propios ni para modelos de IA externos

Seguridad de las aplicaciones

Secure SDLC desde los requisitos hasta la operación (detalles abajo)
Modelado de amenazas, revisión de código y pruebas automatizadas en la CI

Acceso & identidad

Acceso de solo lectura a sus sistemas — sin acceso de escritura por parte de Vamiset
La gestión de accesos forma parte del SGSI certificado ISO/IEC 27001 de VamiSec GmbH; acceso a los datos de clientes de Vamiset: información bajo petición
Inicio de sesión en Vamiset con autenticación multifactor (MFA); detalles del modelo de roles bajo petición

Infraestructura

Hosting soberano en T Cloud Public (DE)
Operador y parte contratante: VamiSec GmbH, Bonn — derecho alemán, fuero en Alemania
Separación de inquilinos y aislamiento de red: información bajo petición

Evidencias para sus auditorías (función del producto)

Instantánea de configuración por activo en cada ejecución de descubrimiento — ad hoc o programada (diaria, semanal, mensual)
Hallazgos con severidad, propietario y el control que falla — con seguimiento hasta el cierre
Exportación de los hallazgos como evidencia de auditoría para sus evaluaciones

Gestión de incidentes

Proceso de respuesta a incidentes definido
Notificación al cliente con el objetivo de un informe en 24 horas
Divulgación responsable a través de security@vamisec.com · security.txt

Mapeo de marcos

Evaluación frente a controles de ISO 27001, SOC 2, RGPD, NIS2, PCI-DSS e HIPAA
Además, CIS Benchmarks (cloud, SO, Kubernetes) y sus propias políticas en YAML
El mapeo respalda sus evidencias — no es una certificación ni una atestación de Vamiset

Organización & gobernanza

SGSI de VamiSec GmbH certificado según ISO/IEC 27001 (Proks Certification GmbH, acreditada por DAkkS)
Formaciones de concienciación en seguridad para todo el personal
Procesos de gestión de proveedores y de riesgos

Continuidad de negocio

Concepto de copias de seguridad y recuperación: información bajo petición
Plataforma de alojamiento T Cloud Public con ISO 22301 (BCM) — evidencia de Deutsche Telekom, no de VamiSec GmbH

04 — Ciclo de vida seguro de desarrollo de software

Desarrollamos con la misma seguridad con la que auditamos.

En Vamiset, la seguridad no es un paso posterior, sino que está integrada en cada fase del desarrollo — conforme al estado del arte, desde los requisitos hasta la operación.

Ingeniería de requisitos de seguridad

Los requisitos de seguridad y protección de datos se definen antes de la primera línea de código.

Modelado de amenazas

Modelado de amenazas según STRIDE.

Revisión de código

Los cambios se revisan antes de integrarse — con atención a la seguridad y la protección de datos.

Pruebas automatizadas

La batería de pruebas automatizadas se ejecuta en la CI con cada pull request.

Despliegue soberano

En modo SaaS, despliegue exclusivamente en T Cloud Public en centros de datos en Alemania.

Divulgación responsable

Los investigadores de seguridad notifican vulnerabilidades a security@vamisec.com — legible por máquina mediante security.txt.

05 — Subencargados

Con total transparencia — quién trata qué datos.

Recurrimos a un número deliberadamente reducido de subencargados cuidadosamente seleccionados e indicamos para cada uno la finalidad y la región de tratamiento. Comunicamos los cambios a nuestros clientes con antelación.

T Cloud Public trata los datos de la plataforma exclusivamente en Alemania. Vamiset no utiliza hoy ninguna función de IA y, por tanto, no recurre a proveedores de IA como subencargados.

Subencargado	Finalidad	Región
Telekom Deutschland GmbH T Cloud Public	Hosting en la nube & infraestructura de la plataforma — centros de datos de Biere/Magdeburg, solo en modo SaaS	DE

Lista actualizada de subencargados y notificaciones de cambios: privacy@vamisec.com.

06 — Documentos & evidencias

VamiSec GmbH, operador de Vamiset, cuenta con un sistema de gestión ambiental (SGA/EMS) documentado según ISO 14001:2026. Está integrado con nuestro SGSI certificado según ISO/IEC 27001 en un sistema de gestión integrado, y nuestro compromiso con la sostenibilidad lo evalúa además externamente EcoVadis.

Sistema de gestión ambiental según ISO 14001:2026Política ambiental, registros de aspectos ambientales y de requisitos legales, objetivos ambientales medibles con indicadores y una responsabilidad del SGA claramente asignada.

Integrado con el SGSIEl SGA utiliza los procesos de nuestro SGSI certificado según ISO/IEC 27001, desde la gestión de cambios y acciones correctivas hasta la revisión conjunta por la dirección.

Certificación en preparaciónLa certificación ISO 14001 por una entidad acreditada por DAkkS está en preparación; la auditoría está planificada para 2027.

EcoVadis Committed – Sustainability Rating

EcoVadisCalificación de sostenibilidad · Insignia Committed 2026

En la calificación de sostenibilidad de EcoVadis, VamiSec GmbH obtuvo la insignia Committed en octubre de 2026, un reconocimiento a su mejora continua en materia de sostenibilidad.

La calificación y el sistema de gestión ambiental se refieren a VamiSec GmbH como empresa, que desarrolla y opera Vamiset.

08 — FAQ

Preguntas frecuentes de la due diligence.

¿Dónde se almacenan nuestros datos?

En la modalidad SaaS, almacenamos los datos de la plataforma Vamiset exclusivamente en centros de datos situados en Alemania; la parte contratante, el derecho aplicable y el fuero son alemanes. Indicamos los subencargados que utilizamos, con su finalidad y región de tratamiento, en la tabla de subencargados.

¿Está Vamiset certificado según ISO 27001?

Lo que está certificado es el sistema de gestión de la seguridad de la información de VamiSec GmbH, que opera Vamiset, no Vamiset como producto individual. El SGSI está certificado conforme a ISO/IEC 27001:2022 por Proks Certification GmbH, organismo acreditado por DAkkS (certificado DE-IS-20250191, válido hasta el 18 de septiembre de 2028). Según el certificado, el alcance cubre la «prestación de servicios de consultoría en seguridad de la información, de productos digitales asociados y de instalaciones de apoyo para el procesamiento de la información …» (traducido del original alemán).

¿Qué acceso obtiene Vamiset a nuestros sistemas?

Solo acceso de lectura a los sistemas conectados. Vamiset conecta las cuentas cloud (AWS, Azure, GCP), los repositorios de código (GitHub, GitLab) y el sistema de RR. HH. BambooHR con accesos de solo lectura y no tiene acceso de escritura a estos sistemas. Vamiset escanea la superficie de ataque externa con su propio escáner de sitios web.

¿Utiliza Vamiset IA y ven nuestros datos los proveedores de IA?

No. Hoy Vamiset es una herramienta de seguridad clásica sin función de IA; por eso no interviene ningún proveedor de IA como subencargado. Si en el futuro se añadieran funciones de IA, indicaríamos de antemano los proveedores de IA utilizados en la tabla de subencargados. No utilizamos los datos de clientes como datos de entrenamiento.

¿Cómo se nos informa en caso de un incidente de seguridad?

Seguimos un proceso definido de respuesta a incidentes y notificamos con prontitud a los clientes afectados — con el objetivo de un primer informe en 24 horas. Los investigadores de seguridad pueden contactarnos a través de security@vamisec.com — legible por máquina según RFC 9116 en /.well-known/security.txt.

¿Se utilizan nuestros datos para entrenar modelos de IA?

No. No utilizamos los datos de clientes como datos de entrenamiento: no entrenamos ni ajustamos (fine-tuning) ningún modelo de IA con ellos, y solo conectamos modelos de IA externos bajo condiciones contractuales que excluyen su uso para entrenamiento. En la tabla de subencargados indicamos si Vamiset recurre a proveedores de IA externos y a cuáles.

¿Cómo obtenemos acceso a los documentos confidenciales?

Los documentos públicos están disponibles directamente. Para la declaración de aplicabilidad, los whitepapers de arquitectura o los cuestionarios cumplimentados basta con una breve solicitud a security@vamisec.com; los documentos sujetos a NDA se facilitan una vez firmado el acuerdo.

¿Qué datos personales trata Vamiset?

A través de la integración con BambooHR, Vamiset trata datos de empleados de su sistema de RR. HH., es decir, datos personales. La información sobre los campos obtenidos está disponible bajo petición. A los datos tratados se aplican plazos de eliminación y conservación definidos, regulados en el contrato de encargo del tratamiento (art. 28 RGPD) específico del producto, que facilitamos bajo petición: privacy@vamisec.com.

¿Cómo se autentican los usuarios y cómo se protegen las credenciales almacenadas?

El inicio de sesión en Vamiset está protegido con autenticación multifactor (MFA). Vamiset almacena cifrados los datos en reposo, y los datos en tránsito se cifran mediante TLS. Describimos bajo petición otros detalles técnicos —por ejemplo, el modelo de roles y la protección de las credenciales de solo lectura almacenadas (gestión de secretos)—: escriba a security@vamisec.com. Los plazos de eliminación y conservación se rigen por el contrato de encargo del tratamiento específico del producto.

¿Alguna pregunta más?

Hable con nuestro equipo.

Respondemos a sus preguntas de seguridad y compliance y le proporcionamos las evidencias que necesita su departamento de compras.

Reservar una cita security@vamisec.com