Centro de confianza
Todo lo que preguntaría tu equipo de seguridad
Reunido en una página, con los proveedores por su nombre y la residencia de los datos por su ubicación real. Incluye lo que no cubrimos: una página de confianza que solo cuenta lo bueno no sirve para decidir nada.
Resumen de seguridad
- Tránsito: TLS 1.3 en toda comunicación.
- Reposo: AES-256 para los metadatos sensibles.
- Certificados: firmados con RSA-SHA256; clave pública abierta.
- Archivos: analizados en cuarentena antes de entrar al expediente. Si el análisis no puede completarse, la obra se rechaza en vez de pasar sin revisar.
- Retención: el archivo original no se conserva. Quedan la huella, el certificado y una miniatura.
- Acceso de agentes: claves con permisos explícitos, caducidad obligatoria y cuota por hora. Certificar exige aprobación humana; no es delegable de forma automática.
Residencia de los datos
Los datos residen en Lauterbourg, Francia, en infraestructura de Contabo GmbH, dentro de la Unión Europea. La entidad operadora, Veritas Nexus Legal LLC, está registrada en Florida, Estados Unidos, y es agente DMCA designado ante la U.S. Copyright Office con el registro DMCA-1063815.
Las dos cosas son ciertas a la vez y conviene tenerlas claras: la residencia de los datos es europea; la jurisdicción societaria, estadounidense.
Subprocesadores
Terceros que intervienen en el servicio. La columna que más importa es la última: a las autoridades de sello y a los calendarios de anclaje solo viaja la huella, que es un número de 64 caracteres. El archivo no sale de aquí.
| Proveedor | Para qué | Dónde | Qué recibe |
|---|---|---|---|
| Contabo GmbH | Alojamiento del servidor y de la base de datos | Lauterbourg, Francia (UE) | Todos los datos de la plataforma |
| FreeTSA | Sello temporal RFC 3161 (autoridad principal) | Alemania (UE) | Solo la huella SHA-256. Nunca el archivo |
| DFN-Verein | Sello temporal RFC 3161 (autoridad de respaldo) | Alemania (UE) | Solo la huella SHA-256. Nunca el archivo |
| Calendarios de OpenTimestamps | Anclaje en la cadena de Bitcoin | Servidores públicos distribuidos | Solo la huella SHA-256. Nunca el archivo |
| Google LLC | Copia de seguridad cifrada en Drive, acceso opcional a Drive del usuario y Google Analytics | EE. UU. | Copias de seguridad; analítica solo si aceptas el banner |
| TextBee | Envío de códigos de un solo uso por SMS | Pasarela sobre dispositivo propio | Número de teléfono, solo si eliges acceder por SMS |
Sello simple frente a sello cualificado eIDAS
Esta es la distinción que más confusión causa en todo el sector, y la que más caro sale entender tarde. Veritas emite un sello simple.
| Característica | Veritas (simple) | Cualificado (QTSP) |
|---|---|---|
| Huella SHA-256 del archivo | Sí | Sí |
| Sello temporal RFC 3161 | Sí | Sí |
| Emitido por un prestador cualificado supervisado | No | Sí |
| Presunción legal automática en la UE (eIDAS art. 41) | No | Sí |
| Admisible como prueba ante un tribunal | Sí, valorable | Sí, con presunción |
| Anclaje en una cadena pública (Bitcoin) | Sí | Normalmente no |
| Verificable por terceros sin cuenta | Sí | Depende del prestador |
| Coste | Gratuito | De pago, por sello |
Un certificado de Veritas no tiene presunción legal automática en la Unión Europea bajo el artículo 41 de eIDAS. Es prueba admisible y valorable, no prueba privilegiada. Si tu caso depende de esa presunción —una licitación pública, un plazo procesal— necesitas un prestador cualificado, y deberías saberlo antes de subir nada.
El detalle está en la Declaración de Prácticas del Servicio de Confianza.
Verificación dentro de diez años
Una prueba que solo se puede comprobar mientras el emisor siga vivo no es una prueba: es una promesa. Estas son las cuatro dependencias reales de un certificado de Veritas, ordenadas de menos a más frágil.
- La huella SHA-256 no depende de nadie. Se recalcula con cualquier herramienta, en cualquier ordenador, para siempre.
- El sello RFC 3161 tampoco depende de nosotros. El token se guarda tal cual, sin interpretarlo, y se descarga desde el certificado. Lo valida un tercero con sus propias herramientas contra la autoridad emisora.
- El anclaje en Bitcoin es el más duradero. Mientras exista la cadena, la prueba de OpenTimestamps demuestra que la huella existía antes de un bloque concreto. No requiere que Veritas exista.
- La firma RSA del PDF es la parte que sí depende de nosotros, porque exige nuestra clave pública. Es, honestamente, el eslabón más débil a diez años, y por eso los tres anteriores están diseñados para sostener la prueba por sí solos.
Si el servicio cerrara: las raíces Merkle publicadas y sus anclajes ya están en la cadena de Bitcoin y en los calendarios públicos de OpenTimestamps, fuera de nuestro control y fuera de nuestro alcance. Ni siquiera nosotros podríamos retirarlas. Lo que se perdería es el alojamiento de las páginas de verificación, no la prueba.
Incidentes y contacto de seguridad
La política de divulgación responsable está publicada en formato RFC 9116 en /.well-known/security.txt, con la vía de contacto y el idioma preferente. El estado del servicio, en Estado.
Un incidente que afecte a datos personales se comunica a las cuentas afectadas y se refleja en la página de estado.
Defecto corregido: la declaración de licitud
Qué pasó. Entre el 31 de julio y el 10 de septiembre de 2026, las obras registradas por la vía pública no conservaban la aceptación de la declaración de licitud y autenticidad, que es la única casilla obligatoria del formulario. El formulario la exigía y la API la validaba, pero un paso intermedio reconstruía los datos a mano y se dejaba ese campo fuera. La verificación pública de esas obras muestra lawfulnessDeclaration: { declared: false }.
A cuántas afecta de verdad. De las 47 obras con el campo vacío, la mayoría no perdió nada: 23 son llamadas directas a la API durante el desarrollo, donde nadie marcó ninguna casilla, y 11 son capturas web, un flujo que hasta ahora no pedía esa declaración. Quedan tres certificados emitidos a personas que sí la marcaron en el formulario y cuya aceptación no se conservó. Hay además 3 registros desde la aplicación Android cuyo comportamiento no hemos podido verificar.
Por qué no rellenamos el campo. Porque no sabríamos qué escribir sin inventarlo. No existe en ningún registro la fecha en que esas personas aceptaron: el diario de auditoría tampoco la conservó. Y uno de los tres certificados es del 5 de agosto, cuatro días anterior a la versión del texto que habría que atribuirle. Además los certificados ya están firmados y entregados: modificar la base de datos ahora haría que el registro contradijera al documento sellado, que es peor que cualquiera de los dos estados por separado.
Qué sí hicimos. El defecto está corregido desde el 10 de septiembre de 2026 en las dos vías públicas, comprobado de punta a punta: un registro nuevo devuelve la declaración con su versión, su fecha y su cláusula íntegra. Si crees que uno de tus certificados está entre los tres, escríbenos a sos@veritasnexuslegal.com y lo volvemos a registrar sin coste, con la declaración completa.
Publicamos esto porque un certificado vale lo que valga el relato de cómo se produjo. Corregirlo en silencio y reescribir tres registros sellados habría sido más cómodo y habría destruido exactamente aquello por lo que existe este servicio.
Preguntas de un equipo de compras
¿Quién tiene acceso interno a mis archivos?
Nadie, porque el archivo original no se conserva. Tras certificar solo quedan la huella SHA-256, el certificado firmado y una miniatura de baja resolución. No podemos entregar lo que no guardamos, ni a ti, ni a un tercero, ni a una autoridad.
¿Qué pasa con mis datos si dejo de usar el servicio?
Los certificados emitidos y sus entradas en el registro de transparencia son permanentes por diseño: un registro que se puede borrar no prueba nada. Tu cuenta y sus metadatos se eliminan a petición desde la propia cuenta.
¿Dónde se alojan los datos?
En un servidor de Contabo GmbH situado en Lauterbourg, Francia, dentro de la Unión Europea. La entidad operadora, Veritas Nexus Legal LLC, está registrada en Florida, Estados Unidos: la residencia de los datos es europea y la jurisdicción societaria es estadounidense, y conviene saber ambas cosas.
¿Cómo se notifica una brecha de seguridad?
Por aviso en la página de estado y por correo a las cuentas afectadas. La vía para comunicarnos una vulnerabilidad está publicada en /.well-known/security.txt según la RFC 9116.
¿Tenéis certificación ISO 27001, SOC 2 o eIDAS cualificado?
No. Ninguna de las tres. Lo que hay son autoevaluaciones publicadas enteras, con sus deficiencias abiertas incluidas, en la sección de documentación normativa. Quien necesite un certificado de auditoría externa debe saber que aquí no lo hay.
¿Tenéis seguro de ciberresponsabilidad?
No consta ninguno contratado. Si es un requisito de tu proceso de compra, tenlo en cuenta antes de avanzar.
¿Se cifran los datos?
TLS 1.3 en todo el tránsito y AES-256 para los metadatos sensibles en reposo. Los certificados se firman con RSA-SHA256, y la clave pública está disponible para que cualquiera valide la firma sin pedirnos nada.
Lo que todavía no hay
Esta sección existe porque es la que hace creíbles a las demás. A fecha de hoy no tenemos: certificación ISO 27001, informe SOC 2, condición de prestador cualificado eIDAS, auditoría externa de seguridad, seguro de ciberresponsabilidad, ni acuerdo de tratamiento de datos (DPA) firmable en línea.
Las autoevaluaciones frente a esas normas están publicadas enteras, con sus deficiencias abiertas, en Documentación normativa. Si tu proceso de compra exige cualquiera de las cosas de la lista anterior, merece la pena saberlo ahora y no tres reuniones después.