Seguridad, compliance y soberanía — con total transparencia.

Exclusivamente en centros de datos de T Cloud Public (Deutsche Telekom) en Alemania, en Biere/Magdeburg. Los datos de la plataforma están sujetos al derecho europeo — la parte contratante, el derecho aplicable y el fuero son alemanes; los metadatos de identidad y de citas se procesan a través de Microsoft en la región UE.

VamiRedteam es operado por VamiSec GmbH, cuyo SGSI está certificado conforme a ISO/IEC 27001 por un organismo acreditado por DAkkS. La operación de VamiRedteam sigue los procesos de este sistema de gestión. El alcance certificado cubre expresamente, además de los servicios de consultoría, los productos digitales asociados y las instalaciones de procesamiento de la información de apoyo (certificado DE-IS-20250191, ISO/IEC 27001:2022, válido hasta el 18 de septiembre de 2028). La plataforma de hosting T Cloud Public aporta además un atestado BSI C5, certificados ISO 27001, un label TISAX (AL 3) e informes SOC 1/2/3.

Mediante Single Sign-On con autenticación multifactor obligatoria a través de Microsoft Entra External ID (OIDC). Las sesiones se gestionan con cookies httpOnly de corta duración; el acceso sigue el principio de mínimo privilegio.

Mediante el Authorization Cage: el alcance (scope) es whitelist-only, cada encargo está respaldado por cartas de autorización firmadas, los objetivos fuera del alcance se bloquean de forma estricta y cada operación activa se registra en un audit-log encadenado por hashes (hash-chained).

Seguimos un proceso definido de respuesta a incidentes y notificamos con prontitud a los clientes afectados — con el objetivo de un primer informe en 24 horas. Notifique las vulnerabilidades de seguridad de forma confidencial a security@vamisec.com — también legible por máquina a través de /.well-known/security.txt (RFC 9116).

La integración de LLM es configurable. Si así se desea, empleamos modelos alojados en Europa o self-hosted, de modo que los prompts y los findings no abandonen la zona de confianza europea. Sus datos no se utilizan para entrenar modelos de IA: no empleamos datos del scope, prompts, findings ni informes para entrenar o ajustar (fine-tuning) modelos propios, y solo integramos modelos externos bajo condiciones contractuales que excluyen su uso para entrenamiento por parte del proveedor. Los resultados se someten a un triaje humano antes de la elaboración del informe.

Los documentos públicos están disponibles directamente. Para los resúmenes de pentest, los whitepapers de arquitectura o los cuestionarios cumplimentados basta con una breve solicitud a security@vamisec.com; los documentos sujetos a NDA se facilitan una vez firmado el acuerdo.

Supervisamos la plataforma de forma continua (monitorización central, con apoyo del SOC) y anunciamos con antelación los mantenimientos planificados. Los compromisos contractuales de disponibilidad (SLA) se acuerdan en el marco del contrato — hable con nosotros. Compruebe el estado operativo actual en directo en status.vamiredteam.com.

Los datos productivos se eliminan en un plazo de 30 días tras el fin del contrato; las copias de seguridad rotan automáticamente en un plazo adicional de 90 días (plazos acordados en el DPA). Puede exportar sus datos antes de la eliminación.