Seguridad en DPP Host
Última revisión: 30 de septiembre de 2026
DPP Host lo gestiona Qubites ApS, en Dinamarca. En esta página explicamos qué hacemos para proteger los pasaportes y los datos de los clientes, y en qué punto estamos en cada control de la norma ISO/IEC 27002:2022.
En qué punto estamos
DPP Host no está certificado conforme a la norma ISO/IEC 27001.
Evaluamos nuestros propios controles frente a los 93 controles de la norma ISO/IEC 27002:2022 y revisamos el resultado el 30 de septiembre de 2026. Ningún auditor lo ha comprobado. Más abajo figuran todos los controles con su estado.
- 28 Implantado Funciona hoy y podemos demostrarlo.
- 53 Parcial Una parte funciona. El resto está identificado y tiene un responsable.
- 7 Previsto Tiene un responsable y un desencadenante definido. Todavía no funciona nada.
- 5 No aplicable No se aplica a DPP Host. El motivo está documentado.
Qué hacemos
Dónde están sus datos
La base de datos, el sistema de inicio de sesión y las funciones de servidor se ejecutan en Fráncfort (UE). Los pasaportes publicados, las imágenes y los archivos de los proveedores se almacenan en Cloudflare R2 bajo jurisdicción de la UE. Algunos datos se tratan fuera de la UE. Por ejemplo, Cloudflare sirve las páginas desde el centro de datos más cercano al visitante, Resend conserva durante 30 días en Estados Unidos copias de los correos que enviamos y las conexiones de aplicaciones de IA se guardan en Cloudflare Workers KV, que no se limita a la UE.
Quién puede ver qué
Cada tabla de la base de datos tiene reglas de acceso por fila. Los miembros de una organización no pueden leer los datos de otra. La clave pública que usa el sitio web no puede leer ni escribir en ninguna tabla. Los datos de los servicios para propietarios se guardan aparte de los pasaportes y nunca llegan a las copias públicas.
Nada se publica sin intervención humana
Un asistente de IA o una integración pueden preparar un pasaporte. Una persona de su organización lo aprueba tras volver a iniciar sesión. Solo puede publicar por sí sola una clave de API a la que un administrador haya concedido el permiso de publicación.
Claves
Las claves de API se muestran una sola vez y solo se guardan como hashes con clave. Caducan, pueden rotarse con un periodo de solapamiento y dejan de funcionar cuando su creador deja la organización.
En tránsito y en reposo
Todas las conexiones usan TLS con HSTS. El sitio web, el panel de control y las páginas de los pasaportes envían una Content Security Policy. Nuestros proveedores cifran los datos en reposo.
Copias de seguridad y continuidad
Los pasaportes publicados se sirven desde una copia estática que sigue disponible aunque el panel de control o la base de datos no funcionen. Todos los pasaportes publicados se copian cada noche en un espacio de almacenamiento independiente en la UE. Nuestro objetivo es restaurar los pasaportes publicados en un máximo de 8 horas, con una pérdida de datos de 24 horas como máximo. Los pasaportes publicados siguen en línea de 10 a 15 años desde su publicación, y un plan de cierre por escrito establece cómo seguirán en línea si DPP Host cesa su actividad.
Integridad
Cada versión publicada tiene un hash de su contenido con un sello de tiempo independiente. Cualquiera puede comprobar que no se ha modificado.
Incidentes
Tenemos un procedimiento escrito para incidentes y violaciones de la seguridad de los datos personales. Cubre la obligación de notificación en 72 horas del RGPD y el mecanismo de notificación y acción del Reglamento de Servicios Digitales.
Los 93 controles
La norma ISO/IEC 27002:2022 recoge 93 controles en cuatro grupos. Cada fila indica el número del control, su título en la norma y su estado según nuestra revisión del 30 de septiembre de 2026. Qué hacemos en cada control, y dónde, es información interna; está disponible con un acuerdo de confidencialidad (NDA).
5 Controles organizativos
37 controles: 14 implantados, 21 parciales, 2 previstos y 0 no aplicables.
| N.º | Control | Estado |
|---|---|---|
| 5.1 | Políticas de seguridad de la información | Parcial |
| 5.2 | Roles y responsabilidades | Implantado |
| 5.3 | Segregación de tareas | Parcial |
| 5.4 | Responsabilidades de la dirección | Implantado |
| 5.5 | Contacto con las autoridades | Parcial |
| 5.6 | Contacto con grupos de interés especial | Parcial |
| 5.7 | Inteligencia de amenazas | Parcial |
| 5.8 | Seguridad de la información en la gestión de proyectos | Implantado |
| 5.9 | Inventario de la información y otros activos asociados | Implantado |
| 5.10 | Uso aceptable de la información y otros activos asociados | Implantado |
| 5.11 | Devolución de activos | Previsto |
| 5.12 | Clasificación de la información | Implantado |
| 5.13 | Etiquetado de la información | Parcial |
| 5.14 | Transferencia de información | Implantado |
| 5.15 | Control de acceso | Implantado |
| 5.16 | Gestión de identidades | Implantado |
| 5.17 | Información de autenticación | Parcial |
| 5.18 | Derechos de acceso | Parcial |
| 5.19 | Seguridad de la información en las relaciones con los proveedores | Parcial |
| 5.20 | Tratamiento de la seguridad de la información en los acuerdos con proveedores | Parcial |
| 5.21 | Gestión de la seguridad de la información en la cadena de suministro de las TIC | Parcial |
| 5.22 | Supervisión, revisión y gestión de cambios de los servicios de los proveedores | Parcial |
| 5.23 | Seguridad de la información en el uso de servicios en la nube | Implantado |
| 5.24 | Planificación y preparación de la gestión de incidentes | Parcial |
| 5.25 | Evaluación y decisión sobre los eventos de seguridad de la información | Implantado |
| 5.26 | Respuesta a los incidentes de seguridad de la información | Parcial |
| 5.27 | Aprendizaje de los incidentes | Implantado |
| 5.28 | Recopilación de evidencias | Parcial |
| 5.29 | Seguridad de la información durante una interrupción | Parcial |
| 5.30 | Preparación de las TIC para la continuidad del negocio | Parcial |
| 5.31 | Requisitos legales, estatutarios, reglamentarios y contractuales | Parcial |
| 5.32 | Derechos de propiedad intelectual | Implantado |
| 5.33 | Protección de los registros | Parcial |
| 5.34 | Privacidad y protección de los datos personales | Parcial |
| 5.35 | Revisión independiente de la seguridad de la información | Previsto |
| 5.36 | Cumplimiento de las políticas, reglas y normas | Parcial |
| 5.37 | Procedimientos de operación documentados | Implantado |
6 Controles de personas
8 controles: 0 implantados, 3 parciales, 5 previstos y 0 no aplicables.
| N.º | Control | Estado |
|---|---|---|
| 6.1 | Investigación de antecedentes | Previsto |
| 6.2 | Términos y condiciones del empleo | Previsto |
| 6.3 | Concienciación, educación y formación en seguridad de la información | Parcial |
| 6.4 | Proceso disciplinario | Previsto |
| 6.5 | Responsabilidades tras la finalización o el cambio del empleo | Previsto |
| 6.6 | Acuerdos de confidencialidad o de no divulgación | Previsto |
| 6.7 | Trabajo a distancia | Parcial |
| 6.8 | Notificación de los eventos de seguridad de la información | Parcial |
7 Controles físicos
14 controles: 0 implantados, 10 parciales, 0 previstos y 4 no aplicables.
| N.º | Control | Estado |
|---|---|---|
| 7.1 | Perímetros de seguridad física | Parcial |
| 7.2 | Entrada física | Parcial |
| 7.3 | Seguridad de oficinas, despachos e instalaciones | Parcial |
| 7.4 | Supervisión de la seguridad física | No aplicable |
| 7.5 | Protección contra las amenazas físicas y ambientales | Parcial |
| 7.6 | Trabajo en áreas seguras | No aplicable |
| 7.7 | Puesto de trabajo despejado y pantalla limpia | Parcial |
| 7.8 | Emplazamiento y protección de los equipos | Parcial |
| 7.9 | Seguridad de los activos fuera de las instalaciones | Parcial |
| 7.10 | Soportes de almacenamiento | Parcial |
| 7.11 | Instalaciones de suministro | No aplicable |
| 7.12 | Seguridad del cableado | No aplicable |
| 7.13 | Mantenimiento de los equipos | Parcial |
| 7.14 | Eliminación o reutilización segura de los equipos | Parcial |
8 Controles tecnológicos
34 controles: 14 implantados, 19 parciales, 0 previstos y 1 no aplicables.
| N.º | Control | Estado |
|---|---|---|
| 8.1 | Dispositivos de usuario final | Parcial |
| 8.2 | Derechos de acceso privilegiado | Parcial |
| 8.3 | Restricción del acceso a la información | Implantado |
| 8.4 | Acceso al código fuente | Parcial |
| 8.5 | Autenticación segura | Parcial |
| 8.6 | Gestión de la capacidad | Parcial |
| 8.7 | Protección contra el código malicioso | Parcial |
| 8.8 | Gestión de las vulnerabilidades técnicas | Parcial |
| 8.9 | Gestión de la configuración | Implantado |
| 8.10 | Eliminación de la información | Parcial |
| 8.11 | Enmascaramiento de datos | Implantado |
| 8.12 | Prevención de fugas de datos | Parcial |
| 8.13 | Copias de seguridad de la información | Parcial |
| 8.14 | Redundancia de los recursos de tratamiento de la información | Parcial |
| 8.15 | Registro de eventos | Parcial |
| 8.16 | Actividades de supervisión | Parcial |
| 8.17 | Sincronización de relojes | Implantado |
| 8.18 | Uso de programas de utilidad con privilegios | Parcial |
| 8.19 | Instalación de software en sistemas en explotación | Implantado |
| 8.20 | Seguridad de las redes | Parcial |
| 8.21 | Seguridad de los servicios de red | Parcial |
| 8.22 | Segregación de redes | Implantado |
| 8.23 | Filtrado web | No aplicable |
| 8.24 | Uso de la criptografía | Parcial |
| 8.25 | Ciclo de vida de desarrollo seguro | Implantado |
| 8.26 | Requisitos de seguridad de las aplicaciones | Implantado |
| 8.27 | Principios de arquitectura e ingeniería de sistemas seguros | Implantado |
| 8.28 | Codificación segura | Implantado |
| 8.29 | Pruebas de seguridad en el desarrollo y la aceptación | Implantado |
| 8.30 | Desarrollo externalizado | Parcial |
| 8.31 | Separación de los entornos de desarrollo, prueba y producción | Parcial |
| 8.32 | Gestión de cambios | Implantado |
| 8.33 | Información de prueba | Implantado |
| 8.34 | Protección de los sistemas de información durante las pruebas de auditoría | Implantado |
Proveedores
DPP Host funciona con estos proveedores. Las certificaciones son las que cada proveedor declara en su propia página de seguridad; las comprobamos el 30 de septiembre de 2026 y volvemos a comprobarlas una vez al año. Cubren al proveedor, no a DPP Host: nuestra propia situación figura más arriba.
| Proveedor | Qué hace para DPP Host | Certificaciones que declara el proveedor |
|---|---|---|
| Cloudflare | Red perimetral, Workers, almacenamiento R2, DNS, enrutamiento del correo electrónico | ISO/IEC 27001, 27701 y 27018; SOC 2 Tipo II; PCI DSS |
| Supabase | Base de datos, sistema de inicio de sesión y funciones de servidor en Fráncfort | ISO/IEC 27001; SOC 2 Tipo 2; HIPAA |
| GitHub | Código fuente e integración continua | ISO/IEC 27001; SOC 1 y SOC 2 Tipo 2 |
| Resend | Envío de correo electrónico | SOC 2 Tipo II |
| Scaleway | Copias externas: preparadas, desactivadas por ahora | ISO/IEC 27001; HDS |
Documentos y certificación
La Declaración de Aplicabilidad completa y nuestras políticas están disponibles previa solicitud, con un acuerdo de confidencialidad (NDA): hello@dpphost.eu.
Certificación: cuando la exija un cliente o la exijan las normas de la UE para los proveedores de servicios de pasaporte digital de producto.
Problemas de seguridad: hello@dpphost.eu. Privacidad: privacy@dpphost.eu. No publicamos ninguna garantía de disponibilidad.
Estados según la revisión del 30 de septiembre de 2026. Esta página cambia cuando cambia la Declaración de Aplicabilidad.