Pruebas y transparencia

En octubre de 2026, hay dos cosas que han establecido otros y no nosotros:

• El editor. TRASIMENE SAS está inscrita en el registro nacional de empresas francés con el SIREN 103 240 560: sociedad por acciones simplificada constituida el 30 de marzo de 2026, con domicilio social en 61 rue de Lyon, 75012 Paris, presidida por Mohamed Essid. Apple identifica a la misma empresa por su número DUNS 286714569 en la ficha del App Store. Consultar el registro: annuaire-entreprises.data.gouv.fr.
• Las aplicaciones publicadas. Apple examina cada versión de la aplicación antes de su publicación en el App Store, y Google, antes de su publicación en Google Play. La aplicación Android salió el 9 de julio de 2026 y la aplicación para iPhone, el 4 de agosto de 2026.

• Ficha del App Store
• Ficha de Google Play
• Registro nacional de empresas francés

Una evaluación independiente solo aparece en esta página con el nombre del organismo, su fecha y su informe completo.

Trasimène funciona sin ningún botón que pulsar. Su teléfono mide su configuración, su red y, en Android, sus aplicaciones; nuestros servidores comparan esas mediciones con reglas y con listas de amenazas actualizadas a diario, y después devuelven un resultado verde, rojo o gris, explicado en su idioma. En Android, el análisis se realiza cada 30 minutos por defecto. En iPhone, se realiza cuando iOS lo permite.

En octubre de 2026, la aplicación realiza hasta 157 verificaciones en Android y 48 en iPhone. Nuestras verificaciones siguen el marco público MITRE ATT&CK Mobile, que describe las técnicas de ataque dirigidas a los teléfonos (attack.mitre.org). Cada alerta indica lo que se ha visto y lo que hay que hacer.

Un resultado gris significa que la medición no ha podido realizarse: falta un permiso, el VPN está desactivado o el sistema no lo permite. Un gris nunca se presenta como un verde.

Cuando una regla se equivoca, la corregimos en el servidor. La corrección surte efecto en pocos minutos y su teléfono la recibe en su siguiente análisis, sin actualizar la aplicación.

Nuestra información sobre amenazas procede de fuentes públicas y reconocidas: URLhaus, ThreatFox, MalwareBazaar y Feodo Tracker (abuse.ch), OpenPhish, Phishing.Database, CERT Polska, Google Safe Browsing, VirusTotal como último recurso (que recibe la huella de un archivo o un nombre de sitio, nunca el archivo), Have I Been Pwned para las filtraciones de direcciones, la lista de vulnerabilidades explotadas de la CISA y la base de datos NVD. La lista completa, por uso, está en la página Cómo funciona Trasimène.

Archivos de prueba reconocidos

La industria antivirus utiliza archivos de prueba inofensivos para comprobar que una protección reacciona: el archivo EICAR, publicado por el organismo europeo del mismo nombre, y los archivos de AMTSO, la asociación de editores de seguridad y laboratorios de pruebas, entre ellos una aplicación Android de prueba. Desde el 22 de octubre de 2026, nuestros servidores reconocen las huellas de estos archivos, en todas sus formas publicadas, y los tratan como cualquier amenaza conocida. Descargar estos archivos: eicar.org y amtso.org.

• Trasimène se centra en lo que realmente expone un teléfono: su configuración, su red, sus enlaces y, en Android, sus aplicaciones.
• Cuando una aplicación plantea un problema, Trasimène le dice cuál, por qué y cómo desinstalarla. La decisión sigue siendo suya.
• El VPN le avisa de los sitios peligrosos con los que se conecta, sin cortar su conexión por usted. La resolución de nombres se confía a Quad9, un servicio suizo que, por su parte, descarta los dominios maliciosos que conoce.
• En iPhone, iOS aísla cada aplicación de las demás: ninguna aplicación ve la lista de las otras, ni sus archivos, ni sus notificaciones, ni los SMS que usted recibe. Trasimène trabaja dentro de ese marco, con 48 verificaciones: jailbreak, versión de iOS, perfiles y gestión remota, red y Wi-Fi, enlaces de los códigos QR, fugas de su dirección de correo electrónico.

• VPN. El contenido de su tráfico no se lee ni se registra. Nuestros servidores guardan el historial de sus conexiones al VPN (servidor, dirección asignada en el túnel, horas de conexión y de desconexión), que se borra 72 horas después del final del acceso, y el volumen de datos intercambiado cada mes, que se guarda 13 meses. Durante 48 horas guardan también los sitios de nuestras listas de amenazas y de publicidad con los que se ha conectado, con el número de veces, los nombres de sitios inexistentes más solicitados y cifras sobre sus conexiones y los nombres solicitados (número, puertos, duración, longitud), sin ninguna dirección ni nombre de sitio.
• Caja fuerte. Sus contraseñas, notas y archivos se cifran en nuestros servidores con AES-256-GCM, con una clave propia de su cuenta, conservada en un gestor de secretos de acceso restringido, donde cada lectura de una clave queda registrada. Esta clave no se deriva de su contraseña: recupera su caja fuerte iniciando sesión en un teléfono nuevo, sin ninguna frase de recuperación que guardar. Nuestros servidores descifran el contenido para mostrárselo en la aplicación. Capacidad: 5 GB, hasta 30 MB por archivo, 10 000 contraseñas y 10 000 notas. La clave y la caja fuerte se destruyen 30 días después de la eliminación de su cuenta.
• Resultados de las verificaciones. El resultado de cada verificación (verde, rojo o gris, con su explicación) se guarda 30 días, para mostrar el historial y los informes. El detalle de una anomalía puede nombrar un sitio o una aplicación; desaparece con la anomalía.
• Aplicaciones Android. Para valorar sus aplicaciones, nuestros servidores guardan, de cada una, su nombre técnico, la huella de su archivo, la firma de su desarrollador y su origen, durante 30 días después del último análisis en el que apareció. Los archivos de las aplicaciones en sí nunca salen de su teléfono.
• Medición del uso. La aplicación envía mediciones de uso (pantallas abiertas, pasos del recorrido) a Firebase Analytics y a PostHog, para mejorar el producto. Están activas desde el principio y se desactivan en los ajustes de la aplicación, interruptor «Estadísticas de uso». Los informes de errores van a Sentry y a Firebase Crashlytics.

Los datos de su cuenta (dirección de correo electrónico, nombre, preferencias) se conservan mientras exista su cuenta. El detalle de cada dato, de su plazo de conservación y de su base legal figura en la política de privacidad.

Sus datos no se venden a nadie. La aplicación no muestra ninguna publicidad ni integra ninguna herramienta de Meta, TikTok, Snapchat o LinkedIn. Toda la seguridad es gratuita, sin período de prueba ni límite de tiempo; solo el VPN es de pago: 3,99 €/mes o 39,99 €/año.

Para que el servicio funcione, confiamos datos a proveedores, cada uno para una tarea concreta:

• Alojamiento: Google Cloud, región europe-west1 (Unión Europea), para la API, el sitio, las bases de datos y los archivos de la caja fuerte; las claves de la caja fuerte están en el gestor de secretos de Google Cloud. Los 19 servidores del VPN son máquinas de Google Cloud, una por país, instaladas y administradas por Trasimène.
• Medición del uso, desactivable: Firebase Analytics (Google) y PostHog (servidores en la Unión Europea).
• Informes de errores: Sentry (servidores en la Unión Europea para las aplicaciones y el sitio) y Firebase Crashlytics.
• Pago: Apple en la aplicación para iPhone, Google en la aplicación Android; RevenueCat y Stripe en trasimene.com. No vemos ni conservamos ningún dato de tarjeta bancaria.
• Correos electrónicos: Resend, para los mensajes de confirmación, de alerta y de facturación, y para el boletín si está suscrito.
• Vigilancia de filtraciones: Have I Been Pwned recibe cada dirección de correo electrónico que usted decide vigilar y nos indica si figura en una filtración conocida; comprobación al añadirla y después cada 24 horas.
• Reputación de enlaces y archivos: Google Safe Browsing y VirusTotal, que reciben la dirección de un enlace o la huella de un archivo, nunca el archivo.

Medición de nuestras campañas, con su consentimiento: cuando crea una cuenta con su dirección de correo electrónico en Android o en trasimene.com, una casilla, sin marcar, le propone ayudarnos a saber qué campañas atraen a usuarios reales. Si lo acepta, la creación de la cuenta y una suscripción se comunican a nuestras plataformas publicitarias (Meta, TikTok, Snapchat, LinkedIn) con una huella de su dirección de correo electrónico. Meta, TikTok y Snapchat reciben también, al registrarse, su dirección IP y la descripción técnica de su navegador o de su teléfono (user-agent). Google Analytics recibe un identificador de cuenta, nunca su dirección. Sin su consentimiento, no se envía nada, y nunca sale nada de un iPhone. Puede retirar su consentimiento en cualquier momento en los ajustes de su cuenta.

Nuestras declaraciones a las tiendas. La etiqueta de privacidad del App Store y la sección Seguridad de los datos de Google Play recogen, en el formato que impone cada tienda, lo que la aplicación recopila y comparte. Las redactamos nosotros mismos y las revisamos con cada cambio, para que coincidan con nuestra política de privacidad y con esta página.

Cada proveedor, las transferencias fuera de la Unión Europea y sus derechos se detallan en la política de privacidad.

¿Ha encontrado una vulnerabilidad en la aplicación, el sitio o la API? Escriba a contact@trasimene.com. Nuestro archivo security.txt, en la dirección /.well-known/security.txt, indica este contacto y remite a esta política.

Acusamos recibo en un plazo de 5 días hábiles y le damos una primera valoración en un plazo de 15 días hábiles. Corregimos con prioridad las vulnerabilidades confirmadas y le mantenemos informado hasta la publicación de la corrección.

No emprendemos ninguna acción legal contra quien actúe de buena fe: que no lea, modifique ni conserve los datos de otros usuarios, que no perturbe el servicio y que nos deje tiempo para corregir antes de publicar.

Agradecimientos

Con su consentimiento, cada persona que nos ha notificado una vulnerabilidad confirmada figura aquí con su nombre y la fecha.

• Cómo funciona Trasimène
• Seguridad y cifrado
• Política de Privacidad
• Empresa y prensa
• Archivo security.txt