Sin promesas de catálogo: lo que la plataforma hace hoy, cada punto con cómo comprobarlo tú desde tu navegador o tu cuenta. Y la documentación que pediría tu DPO, publicada y sin registro.
Herramientas del navegador → Red → /seguridad → cabeceras
max-age=31536000; includeSubDomainsEl navegador se niega a conectar sin cifrar durante un año.script-src 'self' 'nonce-…' + pasarela de pagoSolo se ejecutan nuestros scripts y los de la pasarela de pago.DENYNinguna web puede incrustar la aplicación.0Ni analítica, ni fuentes, ni scripts de fuera.la última, en /estadoY el último simulacro de restauración.Cada afirmación tiene detrás su evidencia, y lo que se puede comprobar solo lo comprueba una sonda automática: las cabeceras, la cookie de sesión y la protección CSRF. Lo demás, te decimos dónde mirarlo.
Todo el tráfico va por HTTPS: si alguien entra por http://, se le redirige a https://. Además enviamos HSTS durante un año y para todos los subdominios: desde tu primera visita, tu navegador se niega a conectar sin cifrar.
Cómo comprobarlo: En las herramientas de tu navegador (pestaña Red), mira la cabecera Strict-Transport-Security de esta misma página.
Política de seguridad de contenidos (CSP) con nonces: solo se ejecutan nuestros scripts y los de la pasarela de pago. Ninguna web puede incrustar la aplicación, la cookie de sesión va marcada como segura, inaccesible para los scripts y del mismo sitio, y los formularios llevan protección CSRF.
Cómo comprobarlo: Cabeceras Content-Security-Policy y X-Frame-Options de esta página; al entrar, los atributos de la cookie aegis_session (Secure, HttpOnly, SameSite).
Cada consulta se acota a tu organización, y lo comprobamos automáticamente en cada despliegue en lo más sensible: la exportación de datos no puede llevar una sola fila de otra organización, y el canal de denuncias responde «no encontrado» a cualquier otra. Tus clientes entran solo a su portal: una lista cerrada de pantallas, cerrada por defecto.
Cómo comprobarlo: Si tienes clientes con acceso, prueba a abrir desde su cuenta cualquier pantalla que no sea su portal.
La aplicación y su base de datos están en la Unión Europea (Railway, región europe-west4, Países Bajos). Dos cosas salen de la UE, y lo decimos: las consultas a la inteligencia artificial, que viajan al proveedor del modelo, y el envío de correos. Qué sale, a quién y con qué base, en la política de privacidad.
Cómo comprobarlo: Política de privacidad, apartado de destinatarios y transferencias internacionales.
La aplicación hace cada día una copia de la base de datos, la verifica al hacerla y conserva en el volumen las siete más recientes. Desde el 27/09/2026, cada copia sale además cifrada (AES-256-GCM, con una clave que no sale del servicio) a un almacenamiento de objetos separado del volumen, en Ámsterdam, donde se conservan las treinta más recientes, y cada semana se descarga, se descifra y se comprueba que se puede restaurar. Un límite que no escondemos: ese almacenamiento es del mismo proveedor (Railway); protege de perder el volumen, no de perder el proveedor.
Cómo comprobarlo: La página de estado muestra la última copia verificada, la última copia fuera del volumen y el último simulacro de restauración.
Cada cita normativa del copiloto se busca en la base normativa, en la norma que nombra (el artículo y, cuando tenemos el texto oficial, también el apartado). Cada respuesta dice cuántos de los artículos que cita se han encontrado y cuáles con su texto oficial, también en la prueba pública de la portada. Que la cita exista no garantiza que la conclusión valga para tu caso.
Cómo comprobarlo: Haz una pregunta en la portada: cada fuente sale marcada y el recuento aparece debajo.
Un administrador descarga en un clic todos los datos de su organización, en hojas de cálculo y JSON y con la huella de cada fichero, sin pedir permiso ni pasar por soporte. Las comunicaciones del canal de denuncias las descarga aparte su Responsable del Sistema, como exige la ley.
Cómo comprobarlo: Ajustes → Exportar mis datos.
Publicada y accesible sin registro. Si falta algo que necesites para tu evaluación, escríbenos y lo añadimos.
Forma parte de los términos en todos los planes. Art. 28 RGPD, con categorías de subencargados, derecho de oposición y aviso de 30 días.
Leer → Art. 30 RGPDQué tratamos, con qué base jurídica y durante cuánto tiempo.
Leer → Art. 35 RGPDLa nuestra, sobre el propio tratamiento con IA agéntica.
Leer → IAQué hace el sistema, qué no hace, y cómo se supervisa.
Leer → Arts. 33 y 34 RGPDProcedimiento y plazos de notificación.
Leer → Art. 4 RIAArt. 4 del Reglamento (UE) 2024/1689, aplicado a nuestro propio personal.
Leer → ContactoQuién es y cómo se le escribe.
Leer → MétodoCómo revisamos nuestro propio contenido jurídico, con sus cifras y límites.
Leer →Subencargados y transferencias. Los subencargados, con su país, la base de cada transferencia y lo que queda pendiente, están en la política de privacidad y en el contrato de encargo.
Escribe al DPO →El diagnóstico no pide cuenta: ves qué obligaciones te aplican, con el artículo de cada una, sin registrarte. Y si prefieres que te lo enseñemos, sobre tu caso real.