En reposo, en la UE
Bases de datos, copias de seguridad, registros y documentos de prueba se alojan y se tratan en Francia, en Scaleway. Sus datos de incidentes no salen de la UE en el marco normal.
Centro de confianza · la prueba, pieza a pieza
Centro de confianza de Galyct Pro
Un centro de confianza no debería ser una página de adjetivos. Este pone, frente a cada promesa de seguridad, el mecanismo real que la sostiene, y dice con claridad lo que ya está activo, lo que es un compromiso contractual y lo que proporcionamos bajo demanda. Puede leerlo, mostrárselo a su DPD, someterlo a su CISO.
Cada apartado siguiente remite a un elemento verificable, fechado y aprovechable en un expediente de pruebas.
Alojado en Francia, en Scaleway · cifrado en reposo · registro con marca de tiempo · compartimentación multientidad.
PRINCIPIO
Mostramos
el mecanismo.
La mayoría de los «trust centers» alinean logotipos y palabras. El nuestro pone una columna «prueba técnica» frente a cada compromiso, y una columna «estado» que distingue con honestidad lo que funciona hoy de lo que es un compromiso o lo que proporcionamos bajo demanda. Nada se presenta como adquirido mientras no sea cierto: es la regla que nos imponemos a nosotros mismos.
01 · SEGURIDAD TÉCNICA, DEMOSTRADA
La matriz de pruebas
Cada línea: un compromiso, lo que protege en concreto, el mecanismo técnico real que lo sostiene y su estado. Las piezas Activo están activas hoy en el servicio.
| Pieza | Lo que aporta | Prueba técnica | Estado |
|---|---|---|---|
| Integridad de las pruebas | Un documento depositado no puede alterarse sin que se note. | Huella SHA-256 calculada al depositarlo y almacenada con el documento. | Activo |
| Cifrado en reposo | Sus datos sensibles siguen siendo ilegibles incluso en caso de acceso al almacenamiento. | AES-256-GCM (IV aleatorio + etiqueta de autenticación); escritura rechazada si falta la clave en lugar de almacenar en claro (fail-closed); rotación de claves con herramientas. | Activo |
| Registro con marca de tiempo | Quién vio qué, quién decidió qué, y cuándo, sin posibilidad de reescritura. | Registro de solo adición en el servidor (solo inserción; actor y marca de tiempo fijados por el servidor, no por el navegador). | Activo |
| Doble autenticación | Una contraseña robada no basta para entrar. | Segundo factor obligatorio (registro forzoso al iniciar sesión) en Pro, Perso y la consola MSP: TOTP (RFC 6238, secreto cifrado en reposo, códigos de recuperación) o código de un solo uso por correo en el espacio para el público general. | Activo |
| Protección contra fuerza bruta | Ningún bombardeo de intentos de conexión ni del segundo factor. | Límite deslizante por IP y por correo, aplicado también en el paso MFA. | Activo |
| Verificación respetuosa | Se comprueba la exposición de una contraseña sin enviarla nunca. | k-anonimato: solo los 5 primeros caracteres de la huella SHA-1 salen del navegador; la comparación se hace en local. | Activo |
| Compartimentación multientidad | Una entidad nunca ve los datos de otra. | Perímetro derivado en el servidor (nunca a partir de la solicitud) e impuesto en cada tabla compartimentada. | Activo |
| Pruebas fuera de la raíz web | Sus archivos no pueden servirse por error. | Almacenamiento fuera de la carpeta web, nombres de archivo opacos, permisos 0700; purga RGPD completa de un perímetro. | Activo |
| Pago externalizado | Los números de tarjeta y los códigos de seguridad los introduce y los trata directamente Stancer; no transitan por los servidores de DRC. | Página de pago alojada por Stancer (Francia); el servidor vuelve a comprobar el pago antes de cualquier desbloqueo. | Activo |
| Reversibilidad | Nada se pierde por error; se marcha con sus datos. | Papelera cifrada durante 30 días (restauración en autoservicio) + exportaciones de sus registros y pruebas. | Activo |
| Gobernanza de la IA trazada | Usted sabe lo que se envía al modelo, y da su consentimiento. | Elección del motor gobernada en el servidor (Mistral/UE por defecto) + registro de consentimiento «con conocimiento de causa». | Activo |
| Transporte reforzado | Los intercambios están cifrados en tránsito (TLS). | HTTPS + HSTS, CSP, X-Content-Type-Options, X-Frame-Options; regla que bloquea los archivos internos. | Activo |
Estos mecanismos son los del producto real, no los de un folleto. Para el detalle de la arquitectura: la base técnica →
02 · COMPROMISOS DE SERVICIO
Lo que comprometemos, y lo que queda por publicar
La disponibilidad es un compromiso contractual (Anexo SLA de las condiciones de uso). Distinguimos estos objetivos de las mediciones que todavía no exponemos públicamente, en lugar de mostrar cifras halagüeñas que no se cumplen.
99,0 %
Disponibilidad, plan Essentiel Comprometido
99,5 %
Disponibilidad, plan Résilience Comprometido
99,9 %
Disponibilidad, plan Performance Comprometido
RPO ≤ 12 h
Pérdida máxima de datos, copia de seguridad cifrada cada 12 h Implantado
RTO ≤ 24 h
Plazo de restablecimiento del servicio previsto, reconstrucción a partir de la copia de seguridad probada Objetivo
Copia de seguridad
Copia de seguridad cifrada fuera de las instalaciones (Francia), restauración probada Implantado
Estado
Página de estado de los servicios: disponibilidad en directo En línea
Los objetivos de disponibilidad figuran en el Anexo 1 (SLA) de las condiciones de uso de Pro; el marco de responsabilidad corresponde a las condiciones de venta de Pro.
03 · ALOJAMIENTO Y FLUJOS DE DATOS
Dónde viven sus datos, y lo que sale (o no)
El marco normal del servicio permanece en Francia (UE). Algunas verificaciones externas son opcionales y controladas: para cada una, usted sabe exactamente lo que transita.
Verificaciones externas, identificadas
Resolución DNS cifrada (Mullvad SE, Freifunk München DE, LibreDNS GR, respaldo FDN en Francia: solo transita el dominio), reputación de URL, búsqueda de filtraciones: cada flujo saliente está documentado y se activa de forma controlada.
IA operada en la Unión Europea por defecto
El motor de IA es Mistral (Francia/UE) por defecto. Un cambio explícito a un motor fuera de la UE sigue siendo una elección gobernada en el servidor, trazada y consentida, nunca silenciosa.
Subencargados identificados
Scaleway/Online (alojamiento, FR), Mistral (IA, FR/UE), Stancer (pago, FR). La lista fechada se mantiene actualizada y se comunica en el marco contractual. Ver el registro →
04 · TRAYECTORIA DE CUMPLIMIENTO
Lo que es real, y lo que es una trayectoria
Nos negamos a dar a entender que tenemos un sello que no tenemos. Este es el estado exacto.
Cybermalveillance.gouv.fr Real
Galyct es un proveedor referenciado en Cybermalveillance.gouv.fr. Es una señal de compromiso, no es una certificación del Estado, y nunca lo presentamos como tal.
SecNumCloud, como brújula No certificado
El marco SecNumCloud (la cualificación de nube de confianza de la ANSSI) nos sirve de brújula de arquitectura. A día de hoy, no se ha iniciado ninguna certificación (ISO 27001, SecNumCloud); lo decimos en lugar de dar a entender lo contrario. El día en que se inicie un proceso, figurará aquí, fechado.
RGPD · NIS 2 · DORA Equipado
La plataforma equipa estos marcos (registro, notificación en 72 h, riesgo de terceros, DPA art. 28); no otorga ningún sello y no sustituye ni a su DPD ni a su auditor. Los marcos de referencia →
05 · DOCUMENTOS Y PRUEBAS
Los documentos que mostrar a su DPD, a su aseguradora, a su auditor
Lo que está disponible de inmediato, y lo que proporcionamos bajo demanda en el marco de un intercambio acotado.
DPA, contrato de encargo del tratamiento (art. 28)Anexo 2 de las condiciones de uso de Pro.
Disponible
SLA, objetivos de disponibilidadAnexo 1 de las condiciones de uso de Pro.
Disponible
Registro de subencargadosFechado, actualizado, comunicado en el contrato.
Disponible
Exportación de pruebas (SHA-256) y expediente CODEXSus documentos, con marca de tiempo y verificables.
Disponible
Revisión de seguridad interna adversarialRevisiones de código y bastionado, de forma continua.
De forma continua
Síntesis de prueba de intrusión (tercero)Alcance y resultados de un pentest externo.
Próximamente
Certificado de seguro de RCResponsabilidad civil profesional / cíber.
Bajo demanda
¿Necesita un documento «bajo demanda» para su expediente de proveedor? Contáctenos →
06 · LO QUE NO PROMETEMOS
Un centro de confianza también dice sus límites
Ninguna herramienta seria promete lo inviolable. Preferimos enunciar nuestros límites antes de que usted los descubra el día de un incidente.
Sin riesgo cero
Ni «100 %», ni «garantizado», ni «inviolable». El objetivo es reducir la exposición y mantener la prueba: ningún resultado está garantizado.
Estados honestos
Una pieza marcada «por publicar» o «bajo demanda» todavía no es un logro público: no la contamos como hecha. Esta página evoluciona a medida que esas casillas se ponen en verde.
Una confianza que puede verificar línea por línea.
Recorra libremente el cockpit con datos de ejemplo, o solicite una demo de 30 minutos para repasar esta matriz con sus exigencias de alojamiento, de cumplimiento y de subencargados.