Seguridad y cifrado
Nuestro enfoque de seguridad es documentado, verificable y transparente.
Cobertura MITRE ATT&CK Mobile
Nuestras funciones se apoyan en varios puntos de control mapeados al marco MITRE ATT&CK Mobile, una base pública que describe las técnicas de ataque dirigidas a los teléfonos.
Modelo de amenazas
Trasimene se centra en las amenazas documentadas del marco MITRE ATT&CK Mobile: phishing y quishing, aplicaciones maliciosas, interceptación de red (MITM), filtraciones de datos y spyware. El alcance exacto de las detecciones depende de las capacidades que ofrece cada plataforma (Android, iOS): documentamos lo que la aplicación puede, y no puede, detectar, sin prometer una protección del 100 %.
Conformidad con estándares
OWASP Mobile Top 10, OWASP MASTG, NIST SP 800-63B, RGPD e ISO 25010 guían nuestras decisiones. El servidor y el sitio están cubiertos por pruebas automatizadas: más de 1700 pruebas para el sitio y más de 300 archivos de pruebas para el servidor en octubre de 2026. Nuestra política de divulgación responsable es pública (security.txt): cada notificación recibe un acuse de recibo y una respuesta. Lo que han verificado terceros se reúne en la página Pruebas y transparencia.
Cifrado
AES-256-GCM para la caja fuerte, TLS 1.2 y 1.3 para las comunicaciones entre la aplicación, el sitio y nuestros servidores, WireGuard para el VPN. Las claves de cifrado de la caja fuerte se almacenan en Google Cloud Secret Manager, una clave por cuenta.
Gestión de claves y secretos
Las claves de cifrado de la caja fuerte (una por cuenta, generada al azar) y los secretos de infraestructura se almacenan en Google Cloud Secret Manager, cifrados en reposo por Google y replicados automáticamente para que sigan disponibles. Su acceso está restringido, mediante los permisos IAM de Google Cloud, a los servicios de Trasimène y a las personas autorizadas, y cada lectura de una clave de la caja fuerte queda registrada; ninguna clave se envía al teléfono. El contenido de la caja fuerte se cifra con AES-256-GCM; no almacenamos ningún dato de tarjeta bancaria.
Localización de los datos
El sitio, la API y los datos (cuentas, resultados, caja fuerte cifrada) están alojados en Google Cloud, región europe-west1 (Bélgica, UE). Los servidores del VPN son máquinas alquiladas a Google Cloud en 19 países, 5 de ellos en la Unión, instaladas y administradas por Trasimène. No se vende ningún dato. Los proveedores y las transferencias fuera de la UE se detallan en nuestra política de privacidad.
Privacidad
No se vende ningún dato y la aplicación no muestra publicidad. Trasimène recopila los datos que el servicio necesita. La aplicación envía además mediciones de uso a Firebase Analytics, que usted puede desactivar en sus ajustes («Estadísticas de uso»), e informes de errores a Sentry y Firebase Crashlytics. Si lo acepta al crear su cuenta en Android o en trasimene.com, la creación de la cuenta y una suscripción se comunican a Meta, TikTok, Snapchat, LinkedIn y Google Analytics para medir nuestras campañas; sin su consentimiento, no se envía nada, y nunca sale nada de un iPhone. El detalle y la forma de retirar su consentimiento figuran en nuestra política de privacidad.
Divulgación responsable
¿Ha descubierto una vulnerabilidad? Escríbanos a contact@trasimene.com. Nuestros plazos de respuesta, nuestro compromiso con los investigadores de buena fe y nuestros agradecimientos se publican en la página Pruebas y transparencia, indicada en nuestro archivo security.txt (/.well-known/security.txt).