VamiThreat Trust Center

Seguridad, compliance y soberanía — con total transparencia.

VamiThreat es la plataforma de modelado de amenazas de VamiSec GmbH, asistida por IA: a partir de descripciones de arquitectura, documentos y diagramas genera un diagrama de flujo de datos, un modelo de amenazas según STRIDE y MAESTRO, rutas de ataque y medidas. Este Trust Center muestra cómo protegemos los datos, dónde alojamos y cómo desarrollamos de forma segura.

SGSI certificado conforme a ISO/IEC 27001:2022 SGSI de VamiSec GmbH · Proks Certification GmbH (acreditada por DAkkS) · certificado n.º DE-IS-20250191 · válido hasta el 18 de septiembre de 2028 Descargar el certificado (PDF) ⤓

Ver documentos security@vamisec.com

OperadorVamiSec GmbH · Bonn, Alemania

HostingT Cloud Public · Alemania

Notificar incidente de seguridadsecurity@vamisec.com

Actualizado13 de octubre de 2026

EstadoBeta · acceso bajo petición

01 — Compliance & certificaciones

Construido sobre bases certificadas.

VamiThreat es operado por VamiSec GmbH, cuyo sistema de gestión de seguridad de la información está certificado conforme a ISO/IEC 27001 por un organismo acreditado por DAkkS. Indicamos de forma transparente qué está certificado, qué está en preparación y qué corresponde a un atestado de la plataforma de hosting.

ISO/IEC 27001

SGSI de VamiSec GmbH — certificado por Proks Certification GmbH (acreditada por DAkkS), válido hasta 09/2028.

Certificado

ISO/IEC 42001

Sistema de gestión de IA de VamiSec en desarrollo — certificación ISO/IEC 42001 en preparación.

En preparación

RGPD / GDPR

Contrato de encargo del tratamiento conforme al art. 28 del RGPD bajo petición (privacy@vamisec.com), subencargados divulgados.

DPA bajo petición

BSI C5 · ISO 27001 · TISAX

Atestado, label & certificados de la plataforma operativa T Cloud Public (Deutsche Telekom).

Plataforma de hosting

ISO 14001

Sistema de gestión ambiental de VamiSec GmbH implantado según ISO 14001:2026 — certificación en preparación.

En preparación

EcoVadis

Calificación de sostenibilidad de VamiSec GmbH — insignia Committed, obtenida en octubre de 2026.

Insignia Committed

02 — Hosting & soberanía digital

Alojado de forma soberana en Alemania — bajo el derecho europeo.

VamiThreat se ejecuta en T Cloud Public (antes Open Telekom Cloud) de Deutsche Telekom — una nube soberana europea, exclusivamente en centros de datos en Alemania. Los datos y registros de la plataforma están sujetos al derecho europeo; la parte contratante, el derecho aplicable y el fuero son alemanes. El acceso se realiza mediante inicio de sesión único (SSO) con Microsoft Entra ID (región UE); el lugar del procesamiento de IA depende del LLM elegido — localmente en Alemania o en el proveedor público en EE. UU.

Solo centros de datos en AlemaniaRegión twin-core Biere/Magdeburg (Sajonia-Anhalt) — hosting exclusivamente en Alemania, dentro del marco jurídico de la UE.

Acceso solo tras iniciar sesiónToda la aplicación —interfaz y API— está detrás de una autenticación previa; sin inicio de sesión único con Microsoft Entra ID no es utilizable.

Transporte cifradoVamiThreat solo es accesible por HTTPS; las solicitudes HTTP sin cifrar se redirigen a HTTPS. Los navegadores actuales se conectan con TLS 1.3.

LLM a elegirEl modelo de lenguaje de las funciones de IA se puede elegir: un Qwen3.8 local en el centro de datos de VamiSec en Sankt Augustin —el procesamiento de IA permanece entonces en Alemania— o un proveedor público como Anthropic u OpenAI. Sin entrenamiento de IA con datos de clientes.

T Cloud PublicDeutsche Telekom · nube soberana

BSI C5 Tipo II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), centros de datos ISO 27001

Certificados, atestados y labels de la plataforma de alojamiento (Deutsche Telekom), emitidos por auditores independientes — no de VamiSec GmbH. Fuente: certificados y atestados de T Cloud Public.

03 — Controles de seguridad

Cómo protegemos — por dominios.

Controles concretos en lugar de marketing. Estas medidas forman parte de nuestro concepto de seguridad y se alinean con el SGSI de VamiSec.

Seguridad de los datos

Transporte cifrado (TLS, HTTPS obligatorio)
Datos de la plataforma exclusivamente en centros de datos en Alemania (SaaS); la conservación y la supresión se rigen por el contrato de encargo del tratamiento
Sus entradas —descripciones, documentos, diagramas— las procesa el LLM elegido, en local o en el proveedor público
Sin entrenamiento con datos de clientes — no entrenamos modelos propios con ellos y solo integramos modelos externos con condiciones que excluyen el entrenamiento

Seguridad de las aplicaciones

Secure SDLC desde los requisitos hasta la operación (detalles abajo)
Modelado de amenazas, revisión de código y pruebas automatizadas en la CI
Ninguna función utilizable sin iniciar sesión: interfaz y API solo tras el inicio de sesión SSO

Acceso & identidad

Inicio de sesión único con Microsoft Entra ID (OpenID Connect)
Inicio de sesión mediante el flujo OAuth 2.0 Authorization Code antes de poder usar la aplicación
Acceso beta solo para cuentas del inquilino de Entra de VamiSec GmbH

Infraestructura

Hosting soberano en T Cloud Public (DE)
LLM local (Qwen3.8) a elegir, operado en el centro de datos de VamiSec en Sankt Augustin
Despliegue on-premise en su propio clúster de Kubernetes (bajo petición)

Resultados de IA trazables

Diagrama de flujo de datos editable (Mermaid) con límites de confianza como base verificable del modelo
Para cada amenaza: ruta de ataque, riesgo y medida (Threat · Attack · Risk · Response)
Metodología transparente: STRIDE, MAESTRO, correspondencia con MITRE ATT&CK y ATLAS

Gestión de incidentes

Proceso de respuesta a incidentes definido
Los clientes afectados son informados sin dilación indebida; los detalles se rigen por el contrato de encargo del tratamiento
Responsible Disclosure a través de bugbounty.vamisec.com · security.txt

Gobernanza de la IA & human-in-the-loop

Asistido por LLM, no autónomo: la IA enriquece, clasifica y propone medidas
Los usuarios revisan y corrigen los diagramas analizados antes de su uso
Proveedores de LLM públicos divulgados — integrados solo con condiciones que excluyen el entrenamiento

Organización & gobernanza

SGSI certificado según ISO/IEC 27001 (DAkkS)
Formaciones de concienciación en seguridad para todo el personal
Procesos de gestión de proveedores y de riesgos

Operación & protección de datos

Operado por VamiSec GmbH, cuyo SGSI —incluidos los productos digitales asociados— está certificado conforme a ISO/IEC 27001
Contrato de encargo del tratamiento (art. 28 RGPD) bajo petición (privacy@vamisec.com)
Operación en T Cloud Public — región twin-core Biere/Magdeburg

04 — Ciclo de vida seguro de desarrollo de software

Desarrollamos con la misma seguridad con la que auditamos.

En VamiThreat, la seguridad no es un paso posterior, sino que está integrada en cada fase del desarrollo — conforme al estado del arte, desde los requisitos hasta la operación.

Security Requirements Engineering

Los requisitos de seguridad y protección de datos se definen antes de la primera línea de código.

Threat Modeling

Modelado de amenazas según STRIDE y —para componentes de IA/agénticos— MAESTRO.

Revisión de código

Los cambios se revisan antes de integrarse — con atención a la seguridad y la protección de datos.

Pruebas automatizadas

La batería de pruebas automatizadas se ejecuta en la CI con cada pull request.

Despliegue seguro

Operación en T Cloud Public en Alemania; HTTPS obligatorio, acceso solo tras iniciar sesión.

Divulgación responsable

Recibimos los avisos de seguridad a través de security@vamisec.com y de nuestro programa de bug bounty — legible por máquina mediante security.txt (RFC 9116).

05 — Subencargados

Con total transparencia — quién trata qué datos.

Recurrimos a un número deliberadamente reducido de subencargados cuidadosamente seleccionados e indicamos para cada uno la finalidad y la región de tratamiento. Comunicamos cualquier cambio a nuestros clientes con antelación.

Hosting en Alemania, inicio de sesión con Microsoft Entra ID en la UE. Si elige un LLM público a través de VamiSec para las funciones de IA, Anthropic u OpenAI procesan sus solicitudes en EE. UU. (API directa); las transferencias se basan en las cláusulas contractuales tipo de la UE (CCT). Si registra su propia clave de API, la relación contractual se establece directamente entre usted y el proveedor; se aplican entonces las condiciones del proveedor con usted, también en lo relativo al entrenamiento.

Subencargado	Finalidad	Región
Telekom Deutschland GmbH T Cloud Public	Hosting en la nube & infraestructura de VamiThreat en la región de Biere/Magdeburg — solo en modo SaaS	DE
Microsoft Microsoft Entra ID	Inicio de sesión (SSO) en VamiThreat a través del inquilino de Entra de VamiSec GmbH; ámbito regional del inquilino: UE, sede del grupo en EE. UU. — posibles accesos limitados desde terceros países según el DPA de Microsoft (CCT)	UE
Anthropic API de Claude	Inferencia de IA (modelo de lenguaje Claude) — solo si elige un LLM público a través de VamiSec para las funciones de IA; sin uso para entrenamiento según las condiciones contractuales del proveedor	EE. UU.
OpenAI API de OpenAI	Inferencia de IA (modelos de lenguaje de OpenAI) — solo si elige un LLM público a través de VamiSec para las funciones de IA; sin uso para entrenamiento según las condiciones contractuales del proveedor	EE. UU.

No es un subencargado: VamiSec GmbH opera por sí misma el Qwen3.8 local en su centro de datos de Sankt Augustin. Si elige este modelo, el procesamiento de IA permanece en Alemania y sin proveedores externos.

Lista completa y siempre actualizada de subencargados, incluido el contacto para notificaciones de cambios: privacy@vamisec.com.

06 — Documentos & evidencias

VamiSec GmbH, operador de VamiThreat, cuenta con un sistema de gestión ambiental (SGA/EMS) documentado según ISO 14001:2026. Está integrado con nuestro SGSI certificado según ISO/IEC 27001 en un sistema de gestión integrado, y nuestro compromiso con la sostenibilidad lo evalúa además externamente EcoVadis.

Sistema de gestión ambiental según ISO 14001:2026Política ambiental, registros de aspectos ambientales y de requisitos legales, objetivos ambientales medibles con indicadores y una responsabilidad EMS claramente asignada.

Integrado con el SGSIEl EMS utiliza los procesos de nuestro SGSI certificado según ISO/IEC 27001, desde la gestión de cambios y acciones correctivas hasta la revisión por la dirección conjunta.

Certificación en preparaciónLa certificación ISO 14001 por una entidad acreditada por DAkkS está en preparación; la auditoría está planificada para 2027.

EcoVadis Committed – Sustainability Rating

EcoVadisCalificación de sostenibilidad · Insignia Committed 2026

En la calificación de sostenibilidad de EcoVadis, VamiSec GmbH obtuvo la insignia Committed en octubre de 2026, un reconocimiento a su mejora continua en materia de sostenibilidad.

La calificación y el sistema de gestión ambiental se refieren a VamiSec GmbH como empresa, que desarrolla y opera VamiThreat.

08 — FAQ

Preguntas frecuentes de la due diligence.

¿Dónde se almacenan nuestros datos?

En la modalidad SaaS, almacenamos los datos de la plataforma VamiThreat exclusivamente en centros de datos situados en Alemania; la parte contratante, el derecho aplicable y el fuero son alemanes. Cuando una función recurre a proveedores externos —por ejemplo, para identidad o IA—, indicamos el proveedor, la finalidad y la región de tratamiento en la tabla de subencargados.

¿Está VamiThreat certificado según ISO 27001?

VamiThreat es operado por VamiSec GmbH, cuyo SGSI está certificado conforme a ISO/IEC 27001 por un organismo acreditado por DAkkS; no existe un certificado específico del producto VamiThreat. Según el certificado, el alcance cubre los servicios de consultoría en seguridad de la información, «los productos digitales asociados y las instalaciones de procesamiento de la información de apoyo…» (certificado DE-IS-20250191, ISO/IEC 27001:2022, válido hasta el 18 de septiembre de 2028).

¿Cómo se autentican los usuarios?

Mediante inicio de sesión único con Microsoft Entra ID (OpenID Connect, flujo OAuth 2.0 Authorization Code). Toda la aplicación —interfaz y API— está detrás de una autenticación previa y no es utilizable sin iniciar sesión. Durante la fase beta, los usuarios inician sesión con cuentas del inquilino de Entra de VamiSec GmbH; el acceso a la beta es posible bajo petición.

¿Qué modelos de IA utiliza VamiThreat y ven nuestros datos?

VamiThreat está asistido por LLM, pero no actúa de forma autónoma: el modelo de lenguaje enriquece su información de arquitectura, clasifica las amenazas y propone medidas. Para ello procesa sus entradas — descripciones, documentos cargados (Word, texto, PDF) e imágenes de diagramas. El modelo se puede elegir: un Qwen3.8 local en el centro de datos de VamiSec en Sankt Augustin —el procesamiento de IA permanece entonces en Alemania— o un proveedor público como Anthropic u OpenAI, con tratamiento en EE. UU. sobre la base de las cláusulas contractuales tipo de la UE. No utilizamos los datos de clientes como datos de entrenamiento: no entrenamos ni ajustamos ningún modelo de IA con ellos, y solo integramos modelos de IA externos bajo condiciones contractuales que excluyen su uso para entrenamiento. Usted revisa y corrige los diagramas analizados antes de su uso.

¿Cómo se nos informa en caso de un incidente de seguridad?

Seguimos un proceso definido de respuesta a incidentes y notificamos sin dilación indebida a los clientes afectados; los detalles se rigen por el contrato de encargo del tratamiento. Los investigadores de seguridad pueden contactarnos a través de bugbounty.vamisec.com — legible por máquina según RFC 9116 en /.well-known/security.txt.

¿Se utilizan nuestros datos para entrenar modelos de IA?

No. No utilizamos los datos de clientes como datos de entrenamiento: no entrenamos ni ajustamos (fine-tuning) ningún modelo de IA con ellos, y solo conectamos modelos de IA externos bajo condiciones contractuales que excluyen su uso para entrenamiento. En la tabla de subencargados indicamos si VamiThreat recurre a proveedores de IA externos y a cuáles.

¿Cómo obtenemos acceso a los documentos confidenciales?

Los documentos públicos están disponibles directamente. Para la declaración de aplicabilidad, los whitepapers de arquitectura o los cuestionarios cumplimentados basta con una breve solicitud a security@vamisec.com; los documentos sujetos a NDA se facilitan una vez firmado el acuerdo.

¿Está VamiThreat en disponibilidad general?

VamiThreat se encuentra actualmente en fase beta. El acceso a la beta es posible bajo petición — lo más sencillo es reservar una demo.

¿Podemos operar VamiThreat en nuestro propio entorno?

Sí, bajo petición. Además de la operación SaaS en T Cloud Public, es posible un despliegue on-premise en su propio clúster de Kubernetes; Telekom Deutschland GmbH no interviene entonces como subencargado. En ese caso, un modelo de lenguaje local se ejecuta en su propia infraestructura de GPU.

¿Alguna pregunta más?

Hable con nuestro equipo.

Respondemos a sus preguntas de seguridad y compliance y le proporcionamos las evidencias que necesita su departamento de compras.

Reservar una demo security@vamisec.com