Centro de confianza

Registro de subencargados

Contrato de encargo de tratamiento (DPA)

Ubicación de los datos

Reversibilidad y salida

Inteligencia artificial

Inventario de datos por conector

Nuestra propia evaluación ReCyF

Aplicamos a nuestra propia organización el diagnóstico ReCyF que pedimos a nuestros clientes que hagan sobre la suya — los veinte objetivos, en el perímetro de una entidad esencial, y no los quince a los que nuestro tamaño nos permitiría limitarnos. Nos situamos por debajo de los umbrales de tamaño de la directiva NIS 2 y no somos, por tanto, una entidad regulada: es una decisión voluntaria. La acompañan una política de seguridad, un análisis de riesgos, un plan de continuidad y un comité de seguridad que se reúne cada trimestre.

Medidas de seguridad

Cada punto que figura a continuación describe código que se ejecuta en producción, y a cada uno lo sujeta una prueba automatizada que falla en cuanto el código deja de ser su descripción. Las cabeceras puede comprobarlas usted mismo, desde su navegador, sin pedírnoslo.

• —Cabeceras de seguridad en producción: HSTS de un año (max-age=31536000, includeSubDomains), negativa a que nuestras páginas se incrusten en otro sitio (frame-ancestors «none» y X-Frame-Options: DENY), nosniff y una Permissions-Policy que deniega la cámara, el micrófono, la geolocalización, el pago y el USB — que la plataforma nunca utiliza.
• —Una política de seguridad de contenido que restringe los orígenes: base-uri y form-action limitados al sitio, object-src en «none» y un connect-src limitado al sitio y a nuestro proveedor de pago — un script no puede, por tanto, abrir una conexión hacia un dominio cualquiera. En cambio, permite los scripts en línea de los que depende el renderizado de Next.js, y las imágenes desde cualquier dominio HTTPS: no es, pues, ni una protección contra la inyección de scripts ni una barrera hermética contra la exfiltración, y preferimos escribirlo antes que dejar que la palabra «estricta» lo sugiera.
• —Contraseñas cifradas con argon2id, el algoritmo recomendado hoy.
• —Autenticación en dos factores: una aplicación de autenticación (TOTP, RFC 6238) o un código de un solo uso por correo electrónico, a elección de cada miembro del equipo, con códigos de recuperación entregados una sola vez en el momento del registro. Es obligatoria por defecto para toda agencia creada desde el 2026-09-28; para las agencias anteriores es un ajuste que hay que activar, porque imponerla con efecto retroactivo habría encerrado a todos sus miembros en una pantalla de registro de un día para otro. Allí donde se aplica, se aplica a toda la agencia y no solo a los voluntarios: mientras un miembro del equipo no haya registrado su factor, su sesión no alcanza nada más que la pantalla de registro.
• —Credenciales de los conectores cifradas en la base de datos con AES-256-GCM.
• —Los conectores que leen sus herramientas son de solo lectura, y esa negativa se impone en el nivel del transporte en lugar de dejarse a la buena voluntad de cada integración: aparte de autenticarse y de cerrar su propia sesión, no escriben nada. La única escritura saliente del producto es el ticket que usted mismo envía a su PSA o a su RMM, descrito en el artículo 8 del contrato de encargo de tratamiento.
• —Separación entre agencias verificada por 23 pruebas automatizadas que se repiten en cada cambio de código: una agencia que intente leer, modificar o eliminar los datos de otra recibe «no encontrado», y la exportación RGPD no contiene ninguna línea perteneciente a otro cliente.
• —Limitación de la frecuencia de peticiones en toda la API, con contadores aún más estrictos en las páginas de autenticación.
• —Registro de auditoría exportable en CSV.
• —Copias de seguridad automáticas cada 24 horas, conservadas 30 días. La restauración se verificó de principio a fin el 2026-09-16: una instancia restaurada estuvo lista en 4,5 minutos, se compararon 53 tablas con la producción y las 13 tablas no vacías se recuperaron con recuentos de filas idénticos. Nada programa esta prueba — la fecha anterior es la de la última, no la promesa de un ritmo.
• —Todo cambio pasa por la integración continua antes de llegar a producción: comprobación de tipos, lint, auditoría de las dependencias, paridad de las traducciones y la batería de pruebas, incluidas las 23 pruebas de aislamiento mencionadas arriba. Una auditoría que detecta una vulnerabilidad crítica detiene el despliegue en lugar de acompañarlo de una advertencia. Dependabot vigila las dependencias de forma continua: el 2026-09-16 se cerraron 2 vulnerabilidades críticas de ejecución de código en remoto el mismo día en que se notificaron. Cada imagen lleva la huella del commit que la ha producido, de modo que cualquier versión desplegada puede localizarse y reconstruirse de forma idéntica.
• —Ninguna analítica externa ni ningún registro de errores externo, en ningún sitio. Las visitas las mide Umami, alojado por nosotros y servido desde vigicap.fr: el script procede de nuestro propio dominio, no del de un tercero. Los errores van a GlitchTip, también alojado por nosotros y accesible únicamente desde la red privada Scaleway. Ningún dato de uso ni de diagnóstico llega a un servicio estadounidense de analítica o de registro de errores. El único script de terceros presente en el producto es el de Stripe, cargado en la pantalla donde usted paga su propia suscripción y en ningún otro sitio — nuestras páginas públicas no cargan ninguno. Lo nombramos en lugar de escribir «ningún script de terceros», que sería más corto y falso.
• —En caso de violación de la seguridad de los datos personales, notificación en un plazo de 48 horas. Es un compromiso contractual, más corto que las 72 horas del artículo 33 del RGPD, precisamente para dejarle tiempo de informar a la autoridad dentro de ese plazo.

Compruebe usted mismo nuestras cabecerasConsulte el estado actual de los serviciosNotificar una vulnerabilidadFicha de seguridad del proveedor

Quiénes somos

Una página de confianza que no dice quién la publica no lo es. Estos datos proceden del registro y allí pueden verificarse.

• NEXTLAB SAS
• SIREN 108 181 421
• 2 avenue d'Iéna, Résidence Les Jardins de Chaillot, 75116 Paris
• Código de identificación del participante (Comisión Europea) : 861319164
• Contacto : Laurent Bertière — contact@vigicap.fr