Saltar al contenido principal

Confianza

Datos del cuestionario de seguridad

Respuestas para revisiones de seguridad y compras, obtenidas de la documentación y páginas públicas de Capgo. Para SOC 2, ISO 27001, mapeos de controles detallados y cuestionarios completados, usa el portal de confianza (solicitar acceso bajo NDA). Los informes de certificación no se envían por email.

Última revisión: 6 de octubre de 2026.

Cómo usar esta página

Cada sección resume fuentes públicas de Capgo y, cuando se indica, respuestas de cuestionarios de proveedores aprobados (los IDs de control se muestran como etiquetas). Consulta las fuentes primarias para la redacción de contratos. Para SOC 2 Type 2, ISO 27001:2022 y PDFs de reportes, usa confía en capgo.app (NDA firmado allí, no por email). Elementos bajo Temas no publicados ¿Aún necesitas el portal de confianza o escribir a security@capgo.app?

Páginas relacionadas: Confianza , Política de seguridad , Subprocesadores , DPA , Enterprise .

Empresa y producto

  • Entidad legal: Digital Shift OÜ (registro code 14236508), Sepapaja 6, 15551 Tallinn, Estonia. Los clientes facturados en Estados Unidos contratan con CodepushGo, LLC, una sociedad de responsabilidad limitada de Delaware, 131 Continental Dr, Suite 305, Newark, DE 19713. Aviso legal .
  • Producto: Live Updates (OTA) para apps de Capacitor, Ionic, Cordova y Electron, además de Native Build para iOS y Android en Capgo Cloud. Actualizaciones en vivo , Native Build .
  • Código abierto: Plugin de updater y plugins de Capgo bajo MPL-2.0; backend bajo AGPL-3.0 con opción de self-hosting. GitHub .
  • Opciones de despliegue: Capgo en la nube, además de opciones Enterprise alojadas, dedicadas, híbridas y de autoalojamiento con licencia. Enterprise .
  • Ley aplicable: Estonia, o Delaware para clientes de CodepushGo, LLC, según las Términos de servicio .

Respuestas del cuestionario del proveedor

¿Quién es responsable de las funciones de seguridad? OS.3
El CEO es el Responsable de Seguridad de la Información designado y responde por la política de seguridad, gobernanza, estrategia, gestión de amenazas y vulnerabilidades, y respuesta ante incidentes, con el apoyo del equipo de ingeniería.
¿Exige contractualmente que todos los proveedores realicen verificaciones de antecedentes? HR.2
No. Nuestros proveedores de infraestructura evalúan a su propio personal bajo programas auditados SOC 2 e ISO 27001, los cuales revisamos anualmente. Todo el personal de Capgo pasa por una verificación de antecedentes antes de que se le conceda acceso.
¿Realiza simulacros de phishing al menos una vez al año? HR.4
No. La concienciación sobre phishing se cubre en el onboarding y en la formación anual de seguridad, y se exige MFA en todas las cuentas.
Is return of assets and access removal documented at termination? HR.6
Sí. Nuestro checklist de bajas cubre la devolución de los activos de la empresa y la revocación de todos los accesos en 1 día hábil.

Hosting y subprocesadores

La lista oficial de subprocesadores del DPA, ubicaciones de procesamiento y mecanismos de transferencia se encuentra en el página de subprocesadores (no el contador de subprocesadores del trust portal). Los subprocesadores actuales del DPA incluyen:

  • Supabase, Inc. (Londres, Reino Unido): base de datos principal, autenticación, datos de cuenta, metadatos de la aplicación y del bundle, identificadores de dispositivo.
  • Cloudflare, Inc. (global, incluidos EE. UU.): edge CDN, Workers, Durable Objects, R2, servicios de seguridad, entrega de live updates.
  • Google Cloud (Hong Kong, Tokyo, Sydney, Johannesburg, Milan, Jeddah, Mumbai, Sao Paulo, Columbus): réplicas de lectura de base de datos e infraestructura regional.
  • Scaleway SAS (París, Francia): infraestructura de Native Build, artefactos y datos de workflow.

El CI del cliente no es un subprocesador DPA de Capgo: Capgo no vincula los repositorios GitHub del cliente ni extrae código de ellos. La automatización típica usa el CI del cliente (por ejemplo GitHub Actions) con un Capgo API token para upload de bundles o enviar solicitudes de Native Build. Integración con GitHub Actions , Integración CI/CD .

Capgo también usa servicios del lado del controlador para su propio negocio (ejemplos en la página de subprocesadores incluyen Stripe, Bento, PostHog, CodeRabbit y SonarCloud). Apple y Google son controladores independientes para la publicación en tiendas cuando los clientes usan sus propias cuentas de desarrollador.

El Página de Trust indica que Cloudflare, Supabase y los pipelines de CI aislados aplican MFA, gestión de secrets y entornos protegidos, y que los proveedores críticos mantienen la atestación SOC 2 revisada anualmente.

Para dudas sobre hosting, mejor consulta la lista de subencargados que las líneas de hosting del aviso legal, que pueden no reflejar los proveedores actuales.

Respuestas del cuestionario del proveedor

¿Qué URL usan los clientes para acceder a la aplicación alojada? HAS.7
https://console.capgo.app
¿Dónde está alojado el servicio? HAS.8
En proveedores de servicios cloud: serverless en Cloudflare Workers con Supabase PostgreSQL gestionado en Londres, réplicas de lectura de Google Cloud y Scaleway en París para Native Build. Consulta la página de subencargados para la lista actual.
¿El servicio está alojado en instalaciones de colocation que operen ustedes? HAS.9
No. Capgo no opera centros de datos propios ni de colocation.
¿Cómo se separan los datos de los clientes en el servicio multi-tenant? HAS.10
Separación lógica multi-tenant. Los registros de la base de datos están aislados por organización mediante PostgreSQL Row Level Security y autorización basada en roles. Los bundles se almacenan en object storage bajo rutas por organización y por app. Los clientes pueden habilitar el cifrado de bundles end-to-end con sus propias claves.
¿Recibe cada cliente credenciales de base de datos o esquemas separados? HAS.11
No hay una base de datos separada por cliente. El aislamiento de tenants se aplica mediante Row Level Security y autorización de la aplicación en lugar de credenciales de base de datos por tenant.
¿Cómo gestionan los administradores la producción? HAS.21
A través de las consolas web de los proveedores de cloud y sus CLI y API sobre TLS, usando cuentas protegidas con MFA y tokens API con permisos limitados. El acceso a la base de datos de producción y vía SSH no está expuesto a la internet pública.
¿Qué controles de producción comunes no están implementados? HAS.28
No operamos un SIEM dedicado ni una VPN corporativa. Cloudflare ofrece protección DDoS y un WAF en el edge; los hosts de producción tienen acceso denegado por defecto y el acceso administrativo usa consolas de proveedores protegidas con MFA.
¿Ejecutan las bases de datos bajo cuentas de servicio sin privilegios? HAS.31
Sí. La base de datos es un PostgreSQL gestionado por Supabase. Las conexiones de la aplicación usan roles dedicados sin permisos de superusuario, y el acceso de los usuarios está sujeto a Row Level Security.
¿La capa de aplicación se ejecuta bajo una cuenta de servicio sin privilegios? HAS.32
Sí. La capa web se ejecuta en Cloudflare Workers mediante aislados V8 en sandbox, sin un sistema operativo o cuenta root expuestos a nuestro code.
¿Mantienen una política de seguridad física? PE.1
Sí, revisada y aprobada anualmente. Capgo no tiene oficinas ni centros de datos. La política cubre el trabajo remoto, endpoints y la supervisión de las instalaciones de nuestros proveedores de cloud.
¿Qué controles físicos protegen su entorno? PE.2
Capgo no tiene oficinas ni centros de datos. Todo el entorno de producción corre en Cloudflare, Supabase, Google Cloud y Scaleway, cuyas instalaciones cuentan con controles físicos cubiertos por auditorías independientes que revisamos anualmente.
¿Se permite la entrada de visitantes a sus instalaciones? PE.4
No aplica en Capgo. Trabajamos totalmente en remoto, sin instalaciones propias. Los controles de visitantes de los centros de datos los gestionan nuestros proveedores cloud.

Residencia de datos y regiones

Para el Cloud estándar de Capgo, Supabase procesa la base de datos principal, la autenticación, los datos de cuenta, los metadatos de apps y bundles, y los identificadores de dispositivos en Londres, Reino Unido. Google Cloud proporciona réplicas de lectura de la base de datos e infraestructura regional en Hong Kong, Tokio, Sídney, Johannesburgo, Milán, Yeda, Mumbai, São Paulo y Columbus. El almacenamiento de bundles y la entrega de live updates usan la infraestructura global de Cloudflare, incluido EE. UU. Enterprise puede usar enrutamiento a endpoints regionales para el flujo de live updates o un despliegue self-hosted con licencia cuando se necesite otro nivel de control. La lista actualizada de subprocesadores incluye todos los detalles de proveedor, ubicación y transferencia.

Ruta de datos de plugins en la UE (opt-in): Configura updateUrl, statsUrl, y channelUrl con los endpoints completos de la UE: https://plugin.eu.capgo.app/updates, https://plugin.eu.capgo.app/stats, y https://plugin.eu.capgo.app/channel_self. Los tres deben configurarse juntos para que los datos de live updates relacionados se almacenen en Europa. Documentación de ubicación de datos .

Datos de cuenta y consola: La documentación pública describe la opción de la UE para la ruta de datos del plugin. No se documenta públicamente una opción exclusiva de la UE para los datos de la cuenta o la consola (ver brechas ).

Residencia estricta: El self-hosting con licencia permite controlar la infraestructura, los logs, la retención y los límites de red. Opciones de despliegue con sensibilidad HIPAA .

Cifrado

  • En tránsito: HTTPS/TLS para la transmisión de datos. Documentación de cumplimiento , DPA .
  • En reposo: Cifrado en reposo de los datos de la plataforma cuando corresponda, según la documentación de cumplimiento y las medidas de seguridad del DPA.
  • Cifrado de bundles opcional (claves del cliente): Cifrado de extremo a extremo con claves gestionadas por el cliente (RSA-4096 y AES-256-GCM en Encryption V2). Documentación de cifrado . Protege contra la divulgación por parte de Capgo, proveedores de almacenamiento y CDNs; no impide la ingeniería inversa de los assets web distribuidos.
  • Integridad: Los bundles se verifican mediante checksum; cifrado opcional por app con tu propia clave. Documentación de cumplimiento .
  • Claves de API: Las claves seguras de API se hashean; el valor de la clave original no se almacena en los servidores de Capgo. Documentación de seguridad de la organización .

Respuestas del cuestionario del proveedor

¿Se cifran los datos del cliente en reposo en bases de datos y almacenamiento de objetos? HAS.13
Sí. Nuestros proveedores cloud cifran bases de datos, backups y almacenamiento de objetos en reposo con AES-256, y las claves se guardan y rotan en los sistemas de gestión de claves de los proveedores. Además, los clientes pueden cifrar sus bundles de extremo a extremo con su propio par de claves.
¿Cada cliente tiene una clave de cifrado distinta para el almacenamiento de la plataforma? HAS.14
No para el almacenamiento de la plataforma. Las claves gestionadas por el proveedor se comparten entre tenants. Para los bundles, los clientes pueden activar el cifrado de extremo a extremo con su propio par de claves RSA; Capgo nunca guarda la clave privada.
¿Puede el personal que accede a datos de producción cifrados obtener las claves de cifrado? HAS.15
No para las claves de la plataforma. Las claves de cifrado para datos en reposo se guardan en los sistemas de gestión de claves de nuestros proveedores cloud y no son accesibles al personal de Capgo. Las claves privadas para el cifrado de extremo a extremo de bundles las mantiene únicamente el cliente.
¿Pueden los clientes aportar sus propias claves para el cifrado del almacenamiento de la plataforma? HAS.16
No para el almacenamiento de la plataforma. Los clientes pueden cifrar sus bundles de extremo a extremo con su propio par de claves para que Capgo no guarde la clave de ese contenido.

Autenticación y control de acceso

Controles del cliente

  • SSO (SAML 2.0): Planes Enterprise; verificación de dominio vía DNS TXT; SSO obligatorio opcional; nuevos usuarios SSO con rol de lectura. Documentación de SSO Enterprise .
  • MFA: Los super admins pueden exigir 2FA; los miembros sin 2FA no podrán acceder al dashboard web ni a CLI. Documentación de seguridad de la organización .
  • Política de contraseñas: Longitud mínima configurable (6 a 128), mayúsculas, números y caracteres especiales.
  • Claves API: Uso obligatorio de claves seguras (hashed) y expiración opcional (1 a 365 días).
  • RBAC: Roles de organización (super admin, admin, billing admin, member) y roles de app (admin, developer, uploader, reader) con overrides por canal. Documentación de funcionalidades .

Personal de Capgo

El acceso se limita al personal autorizado que lo necesite para soporte, prevención de abusos y fiabilidad operativa; el personal está formado en RGPD y privacidad de datos según el DPA .

Los flujos de actualización de contraseña y email pueden depender de la sesión de Supabase Auth y la configuración de reverificación. Política de seguridad .

Respuestas del cuestionario del proveedor

¿Se requiere una VPN para el acceso remoto a su red? AC.11
No. No hay una red corporativa a la que conectarse. El personal gestiona producción mediante consolas de proveedores cloud y APIs sobre TLS con MFA obligatorio. La base de datos de producción y el acceso SSH no están expuestos a internet.
¿Se aplica el bloqueo automático de pantalla con reautenticación por contraseña en 15 minutos o menos? AC.12
Sí. El bloqueo automático de pantalla con reautenticación por contraseña se aplica y supervisa en todos los endpoints mediante nuestro agente de cumplimiento de dispositivos.
¿Se gestiona el acceso con controles de privilegios mínimos basados en roles y requiere aprobación antes de emitir las credenciales? AC.13
Sí. El acceso se gestiona mediante control de acceso basado en roles bajo el principio de mínimo privilegio y requiere aprobación antes de emitir las credenciales.
¿Se revisa el acceso cuando un usuario cambia de rol? AC.14
Sí. Nuestra plataforma de monitoreo de cumplimiento alerta al responsable de seguridad para actualizar el acceso cada vez que cambia un rol, y todo acceso se revisa periódicamente.
¿Existe una política de contraseñas estándar de la industria, gestionada por el equipo de seguridad y aprobada anualmente? AC.15
Sí. Nuestra política documentada de contraseñas e inicio de sesión es gestionada por el Responsable de Seguridad de la Información y revisada y aprobada anualmente por la alta dirección.
Must users reset or set their own password at first sign-on? AC.16
Sí. No emitimos contraseñas iniciales reutilizables. Los nuevos usuarios reciben una invitación de un solo uso o una credencial temporal y deben configurar su propia contraseña al iniciar sesión por primera vez, con MFA obligatorio.
¿Las contraseñas iniciales o los enlaces de invitación se generan de forma aleatoria y son únicos por usuario? AC.17
Sí. Los enlaces de invitación y cualquier credencial temporal se generan de forma aleatoria y son únicos para cada usuario.
¿Se cambian las cuentas y la configuración predeterminadas del proveedor antes de pasar a producción? AC.18
Sí. Producción corre sobre servicios serverless gestionados sin cuentas por defecto del proveedor, y las configuraciones predeterminadas se revisan y endurecen bajo nuestros controles de gestión de configuración antes de usarlas.
¿Utilizan un servicio de directorio centralizado para la identidad del personal? AC.22
Sí. Google Workspace es nuestro directorio de identidad central, con la Verificación en 2 pasos obligatoria para todas las cuentas, y se usa para iniciar sesión en los sistemas principales donde sea compatible.
¿Las contraseñas caducan según un calendario fijo? AC.23
Sin rotación fija. Siguiendo NIST SP 800-63B, las contraseñas no se rotan con un calendario fijo. Se cambian ante cualquier indicio de compromiso y se exige MFA en todos los sistemas.
¿Las contraseñas del personal requieren al menos 8 caracteres con mayúsculas, minúsculas, números y caracteres especiales? AC.24
Sí para cuentas corporativas mediante nuestra configuración de proveedor de identidad, con MFA obligatorio en todos los sistemas.
¿Se aplica un historial de contraseñas? AC.25
Sin regla de historial fijo para contraseñas del personal. El riesgo de reutilización se mitiga con MFA en todos los sistemas y contraseñas únicas generadas por un gestor de contraseñas.
¿Se bloquean automáticamente las contraseñas de uso común? AC.25.1
Sí. Nuestro proveedor de identidad rechaza contraseñas débiles y de uso común.
¿Solo los dispositivos registrados y conformes pueden acceder a los sistemas internos? AC.29
No existe una red corporativa. Los sistemas internos solo se acceden desde endpoints registrados e inventariados que cumplen con los controles de cifrado, protección contra malware, parches y bloqueo de pantalla.
¿Se desactivan automáticamente las cuentas inactivas? AC.30
No hay temporizador de inactividad. El acceso se revoca en un día hábil tras el offboarding, y las revisiones periódicas del Information Security Officer identifican y eliminan cuentas sin uso.
¿Se exige MFA para todo el personal con acceso administrativo remoto a producción? HAS.20
Sí. Se exige MFA para todas las cuentas de personal con acceso a producción y otros sistemas críticos.
¿Está disponible y se puede exigir MFA para todos los usuarios de Capgo Cloud? HAS.20.1
Sí. El MFA mediante TOTP está disponible para todos los usuarios, y los administradores pueden exigirlo para todos los miembros, bloqueando el acceso al dashboard y a CLI si no tienen MFA.
¿Qué métodos de inicio de sesión admite la consola de Capgo Cloud? HAS.27
Los usuarios inician sesión con email y contraseña más MFA mediante TOTP, que los clientes pueden exigir para todos sus miembros. El SSO SAML 2.0 con cumplimiento opcional está disponible en el plan Enterprise. El acceso a CLI y CI utiliza claves API con alcance limitado y expiración obligatoria opcional.
¿Se bloquean las cuentas tras un número fijo de intentos de inicio de sesión fallidos? HAS.35
No hay un bloqueo fijo por cuenta. Los intentos de inicio de sesión tienen un límite de tasa (rate limit) por nuestro proveedor de autenticación, y los clientes pueden exigir MFA o SAML SSO para todos sus usuarios.
¿Tiene el personal con privilegios acceso directo a la base de datos de producción? HAS.30
Sí, pero limitado. El acceso directo a la base de datos de producción se limita a 2 ingenieros autorizados, protegido por MFA, no expuesto a la internet pública y revisado periódicamente.
¿Su inventario de activos identifica los sistemas expuestos a internet? AM.2.1
Sí. Nuestro inventario de infraestructura y diagrama de arquitectura identifican todos los endpoints expuestos a internet.
¿La eliminación segura de datos y soportes está regida por protocolos formales? AM.3
Sí. La eliminación sigue nuestra Política de Clasificación, Retención y Eliminación de Datos. La destrucción de soportes de almacenamiento en los centros de datos la realizan nuestros proveedores de cloud bajo sus controles auditados.
¿Se definen y revisan las líneas base de configuración de seguridad al menos cada 12 meses? AM.5
Sí. Las líneas base de configuración para nuestros servicios cloud y endpoints se definen bajo nuestros controles de gestión de configuración y se revisan anualmente según nuestras políticas.
¿Están los sistemas operativos protegidos frente a los puertos, protocolos y servicios necesarios? AM.6
Sí para producción: serverless en plataformas gestionadas con ingress limitado a HTTPS en endpoints designados y reglas de firewall deny-by-default. Los runners de macOS de Scaleway son el Capgo principal que usa Capgo para Native Build.
¿Qué protecciones de endpoint se despliegan en los dispositivos del personal? CO.4
Todos los endpoints cuentan con protección contra malware y cifrado de disco completo, monitorizados por nuestro agente de cumplimiento de dispositivos. No se despliegan Host IPS ni bloqueo de puertos USB. Los datos de los clientes se procesan en nuestros sistemas de producción cloud.
¿Se despliega cifrado de disco completo en los endpoints del personal? CO.5
Sí. Aplicamos y monitoreamos el cifrado de disco completo en todos los endpoints. Las bases de datos y los backups en la nube están cifrados en reposo en nuestros proveedores. No guardamos backups en medios extraíbles.
¿Utilizan alguna herramienta de DLP para monitorear el tráfico saliente y USB? CO.5.1
No. Los datos de los clientes permanecen en sistemas cloud con control de acceso, los endpoints están totalmente cifrados y monitoreados, y las reglas de manejo de datos se definen en nuestras políticas de Uso Aceptable y Clasificación de Datos.
¿Se revisan o recertifican las reglas del firewall regularmente? CO.8
Sí. Las reglas de ingreso a producción son deny-by-default y se limitan a endpoints HTTPS; se revisan al menos anualmente como parte de nuestras revisiones de configuración y acceso.
¿Mantienen diagramas de red que muestren las conexiones entrantes y salientes? CO.9
Sí. Nuestros diagramas de arquitectura y red muestran los límites del sistema y las conexiones entre Capgo, nuestros proveedores de cloud y los clientes, y se mantienen junto con el inventario del sistema.
¿Puede el personal leer el correo corporativo en computadoras personales? CO.14
El personal puede usar laptops personales registradas en nuestro agente de cumplimiento de dispositivos, que aplica cifrado de disco, protección contra malware, bloqueo de pantalla y parches. El acceso al correo electrónico requiere MFA.
¿Se requiere MFA para el acceso remoto al correo corporativo? CO.15
Sí. La verificación en dos pasos se aplica a nivel de dominio para todas las cuentas de Google Workspace.
¿Con qué frecuencia deben los usuarios reautenticarse con MFA? CO.16
Se requiere MFA en cada nuevo inicio de sesión y en cualquier dispositivo nuevo. La duración de la sesión sigue nuestra configuración de control de sesiones de Google Workspace (actualmente 14 días para sesiones de confianza).

Logs, monitoreo e incidentes

  • Logs de auditoría del cliente: Registro de auditoría para inicios de sesión, cambios de permisos, bundles, canales y cambios en la organización. Documentación de funcionalidades . Enterprise incluye audit logs, estadísticas de la organización por 90 días y logs de dispositivos por 90 días, según la página de Enterprise.
  • Monitoreo: Runbooks dedicados, monitoreo 24/7 y playbooks de respuesta a incidentes liderados por los fundadores según la página de Trust .
  • Estado: Uptime público e incidentes en estado de la app capgo (referenciado en la política de soporte ).
  • Notificación de brecha de datos personales (encargado): Notificar a los clientes sin demora indebida, máximo 48 horas tras detectarlo, vía email con actualizaciones periódicas, según el DPA .
  • Fail-safe del Updater: Si el servicio de actualización no responde en 3 segundos, el plugin cancela la solicitud y abre la app normalmente según el política de soporte .

Respuestas del cuestionario del proveedor

¿Se conservan los logs de auditoría al menos tres años? AC.26
No. Se generan eventos de auditoría para acciones de seguridad en sistemas críticos y se revisan con alertas para detectar actividad anómala. Los logs se conservan según nuestra Logging Policy y la configuración de retención de cada plataforma, que es inferior a tres años.
¿Los logs de producción se envían a un SIEM? AC.27.1
Sin SIEM dedicado. Los logs de producción se recopilan en las herramientas de observabilidad y logging de nuestros proveedores de nube con alertas activas, y se revisan para detectar actividad anómala.
¿Qué defensas de red y monitoreo están implementados? CO.3
Cloudflare ofrece firewall de borde, WAF y protección DDoS. Los hosts de producción usan reglas de denegación por defecto, y Google Workspace filtra el email y el spam. No operamos un SIEM dedicado; los logs se monitorean con alertas en las herramientas de nuestros proveedores.
¿Su plan de respuesta ante incidentes cubre los tipos de incidentes más comunes? IE.2
Sí. Nuestro plan de respuesta cubre malware, denegación de servicio, acceso no autorizado, acceso físico no autorizado, pérdida de datos, pérdida de laptops y ransomware. Los escenarios de intrusión física solo aplican a endpoints, ya que operamos de forma totalmente remota sin oficinas propias.
¿Cuenta con una empresa de respuesta ante incidentes contratada bajo modalidad de retainer? IE.3
No tenemos un retainer actualmente. Nuestro plan de respuesta contempla la contratación de una firma externa de respuesta ante incidentes cuando sea necesario.
¿Se prueba y actualiza el plan de respuesta ante incidentes al menos una vez al año? IE.3.2
Sí. El plan de respuesta ante incidentes es revisado y aprobado anualmente por la alta dirección, y realizamos un ejercicio de tabletop anual.
¿Existe un protocolo para contactar a las autoridades? IE.6
Sí. Nuestra política de respuesta ante incidentes define la notificación a clientes y otras partes interesadas, y mantenemos contacto con las autoridades pertinentes, incluyendo fuerzas de seguridad, como parte de nuestro programa ISO 27001.

Backup, disponibilidad y SLA

  • Backups, redundancia, cifrado y controles de acceso según DPA medidas de seguridad.
  • Replicación regional y réplicas de lectura según la documentación de Enterprise y subprocesadores.
  • SLA de uptime para Enterprise: 99.9% mensual con créditos de servicio del 10% al 30%. SLA .

Los backups se prueban periódicamente para verificar su integridad y capacidad de restauración, realizando ejercicios de recuperación anualmente (ver respuestas del cuestionario del proveedor abajo). Los objetivos específicos de RPO y RTO no se publican en capgo.app.

Respuestas del cuestionario del proveedor

¿Se prueban las recuperaciones de backup al menos una vez al año? CO.6
Sí. Los backups se prueban periódicamente para verificar su integridad y capacidad de restauración, y los procedimientos de recuperación se ejecutan anualmente.

Gestión y divulgación de vulnerabilidades

  • Escaneo de Code: SonarCloud y Snyk; los problemas críticos se bloquean para producción según la página de Trust y documentación de cumplimiento .
  • Revisión de pull requests: Revisión de CodeRabbit AI en pull requests según la documentación de cumplimiento.
  • Pruebas de penetración: Penetration testing independiente según la página de Trust. El proveedor, la fecha y la disponibilidad del reporte no son públicos; usa el portal de trust para solicitar evidencia.
  • Plazos de parcheo: Críticos en 7 días y altos en 30 días según nuestra Política de Gestión de Vulnerabilidades (ver respuestas del proveedor abajo).
  • Divulgación: Reportar vía Avisos de seguridad de GitHub (también capacitor-updater y CLI según security.txt ). Respuesta en 7 días hábiles según la política de seguridad . Reportes pagados vía bug bounty .

Respuestas del cuestionario del proveedor

¿Qué pruebas de seguridad se requieren antes del lanzamiento a producción? HAS.4
Cada pull request ejecuta tests automatizados, linting, análisis estático (SonarCloud y un escaneo de seguridad obligatorio) y una revisión automatizada de code antes del merge; los cambios en producción requieren aprobación de la gerencia. DAST no forma parte del pipeline de release. Un penetration test anual realizado por terceros cubre la aplicación en ejecución.
¿Cuál es la cadencia de parcheo para vulnerabilidades críticas y altas? VM.7
Críticas: en menos de 7 días. Altas: en menos de 30 días, según nuestra Vulnerability Management Policy.

Certificaciones y cómo solicitar evidencia

Las declaraciones públicas incluyen:

  • SOC 2 Type 2 completado (Type II) según documentación de cumplimiento .
  • ISO 27001:2022 certificado según la documentación de cumplimiento y el trust portal.
  • Badges del trust portal para SOC 2 Type 1, SOC 2 Type 2, SOC 3, ISO 27001 y GDPR en confianza.capgo.app .

Cómo obtener informes: Visita confianza.capgo.app , usa Request Access para informes SOC, evidencia ISO, cuestionarios de seguridad y detalles de control bajo NDA. No se envían PDFs de certificaciones por email.

Los paquetes de revisión de seguridad Enterprise pueden incluir un informe SOC 2, una plantilla de DPA y notas de arquitectura según la página Enterprise , siempre mediante el proceso del portal de confianza para evidencia formal.

Los informes de auditoría SOC 2 e ISO completos, las opiniones de los auditores y el alcance detallado solo están disponibles vía el portal de confianza. Las páginas de marketing públicas no replican los PDFs de los informes.

Respuestas del cuestionario del proveedor

¿Existe un proceso de no represalias para reportes de cumplimiento interno? CP.3
Sí. El personal puede reportar inquietudes mediante canales documentados definidos en nuestras políticas, y nuestro Code de Conducta Empresarial protege a quienes informan de buena fe contra represalias.
¿Los contratos con proveedores incluyen disposiciones de seguridad? OS.7
Sí. Los acuerdos de nuestros proveedores de infraestructura y sus DPAs cubren controles de acceso, notificación de brechas, seguridad de subprocesadores y propiedad de los datos. Los derechos de auditoría se ejercen mediante sus informes independientes SOC 2 e ISO 27001.
¿Realizan una debida diligencia de seguridad a sus proveedores? OS.8
Sí. Los proveedores se identifican y se les asigna una calificación de riesgo en una evaluación anual que revisa sus certificaciones de seguridad, incluyendo controles de acceso, MFA y cifrado, con compromisos de seguridad y notificación de incidentes en sus contratos.
¿Existe un proceso definido para excepciones a las políticas de seguridad? SP.4
Sí. Las excepciones se documentan, se evalúan los riesgos, se aprueban y se rastrean bajo nuestra política de Gestión de Políticas y Manejo de Excepciones.
¿Cuentan con un seguro de ciberseguridad? RM.5
Sin póliza de ciberseguro actualmente.

Privacidad y DPA

  • DPA: Aceptación automática al usar el producto; el cliente es el responsable, Capgo es el encargado; SCC con subencargados; obligaciones de notificación de brechas y asistencia. DPA (última actualización: 10 de junio de 2026 en la página en inglés).
  • DPA / NDA firmado: Disponible en Enterprise según la página de Enterprise.
  • Datos recopilados por el updater (por defecto): App ID, versiones, plataforma, ID de dispositivo por app, bundle, channel, OS, versión del plugin, país de la solicitud e IP. Capgo no recopila nombres, emails ni IDs de publicidad por defecto. Opcional custom_id y estadísticas metadata pueden contener identificadores personales si tu app los envía. Los despliegues con mínimo HIPAA deben omitir esos campos y desactivar allow_device_custom_id. El ID del dispositivo es un dato personal seudónimo bajo el RGPD. Documentación de cumplimiento .
  • Desactivar estadísticas explícitas: Configura statsUrl una cadena vacía para dejar de enviar informes de estadísticas explícitas. Cuando updateUrl permanece habilitado, Capgo aún puede almacenar MAU de facturación, inventario de dispositivos y registros de decisiones de actualización necesarios para los Live Updates y la facturación. la documentación de cumplimiento HIPAA .
  • Retención: Retención de bundles configurable; los registros operativos se conservan para el funcionamiento del servicio, seguridad, facturación y soporte sin un periodo público fijo.
  • No se venden datos del servicio: Estipulado en el DPA y Política de datos .

Ver también Política de privacidad y Subprocesadores (aviso de cambio de 30 días).

Despliegues sensibles a HIPAA

Capgo Cloud es no actualmente actúa como procesador de estadísticas alojado con cumplimiento HIPAA según la documentación de cumplimiento HIPAA . Los planes Enterprise pueden incluir un Business Associate Agreement (BAA) para clientes del sector salud según la página de cumplimiento HIPAA .

Las opciones de despliegue para revisiones más estrictas incluyen endpoints en la UE, desactivar estadísticas explícitas (con los límites mencionados), estadísticas self-hosted y licencias de self-hosting (ver la página de cumplimiento HIPAA).

IA Generativa

Por defecto, Capgo no envía datos de clientes a ningún proveedor de IA. El desarrollo interno puede usar asistentes de código con IA solo en el propio source code de Capgo. Si un cliente acepta el diagnóstico de build-logs, esos logs se procesan bajo demanda mediante Cloudflare Workers AI (ver la página de subprocesadores ), sin retención por parte del servicio de IA y sin uso para entrenamiento.

Respuestas del cuestionario del proveedor

¿Utiliza herramientas de IA generativa comerciales que puedan procesar datos de clientes? GAI.2
Por defecto, los datos de los clientes no se procesan con herramientas de IA generativa comerciales. Capgo solo usa asistentes de IA para el desarrollo en el propio source code de Capgo, no con datos de clientes. La única excepción para clientes es el diagnóstico opcional de build-logs: si el cliente lo acepta, esos logs se procesan bajo demanda mediante Cloudflare Workers AI, un sub-procesador listado, sin retención por el servicio de IA y sin uso para entrenamiento de modelos.
¿Se envían datos de clientes fuera de su entorno para análisis de IA? GAI.3
Por defecto, los datos de los clientes no se envían a ningún proveedor externo de IA para su análisis. La única excepción son los diagnósticos opcionales de build logs: cuando el cliente da su consentimiento, esos logs se procesan en cada solicitud mediante Cloudflare Workers AI (que figura en nuestra página de subencargados), sin retención por parte del servicio de IA y sin uso para entrenar modelos.
¿Se evalúan los resultados de la IA para detectar resultados injustos o discriminatorios? GAI.10
No aplica. La IA se usa solo para diagnósticos técnicos de build-logs y asistencia en el desarrollo interno, sin tomar decisiones sobre personas.
¿El procesamiento de IA evita basarse en características protegidas? GAI.11
Sí. La función de IA orientada al cliente procesa únicamente logs técnicos de build y no utiliza características personales o protegidas.
¿Los resultados de la IA se gestionan con revisión y monitorización humanas? GAI.12
Sí. Los resultados de la IA de cara al cliente son solo orientativos y se muestran al desarrollador, que decide qué hacer. No realizan ninguna acción automatizada. La función es opt-in y está cubierta por nuestros procesos de gestión de riesgos y de proveedores.
¿El acceso a componentes de IA es de mínimo privilegio? GAI.13
Sí. La función de IA se ejecuta en nuestra plataforma de producción bajo los mismos controles de acceso basados en roles y de mínimo privilegio, y el servicio del modelo no almacena datos de clientes.
¿Mantienen un inventario de modelos de IA, fuentes de datos y componentes? GAI.15
Sí. Nuestros inventarios de sistemas y proveedores detallan el servicio de IA, los modelos utilizados y las fuentes de datos que lo alimentan.
¿Cuánto tiempo se conservan los datos del cliente en el sistema de IA? GAI.16
Por defecto, no se envía contenido de clientes al servicio de IA. Cuando un cliente opta por los diagnósticos de build-logs, los logs se procesan por solicitud mediante Cloudflare Workers AI y no son retenidos por ese servicio ni se usan para entrenar modelos. Los build logs almacenados en sistemas Capgo siguen nuestra política estándar de retención de datos.

Contactos

Temas no publicados

Los siguientes puntos se consultan seguido en cuestionarios pero no se responden en las páginas públicas de Capgo. Solicita detalles vía el trust portal o security@capgo.app.

  • Periodo del reporte SOC 2, alcance y detalles de la carta del auditor más allá de lo que ofrece el trust portal
  • Proveedor de penetration testing, fecha y carta de resumen (las pruebas anuales se confirman en Vulnerability management)
  • Objetivos numéricos de RPO y RTO publicados
  • Periodos exactos de retención de logs por sistema, más allá del resumen de menos de tres años en Logging, monitoring, and incidents
  • Versión mínima de TLS, cipher suites y detalles de rotación de claves de plataforma
  • Provisionamiento SCIM
  • Contacto del Data Protection Officer o representante en la UE
  • Plazo de eliminación de datos específicos del cliente tras la rescisión del contrato
  • Certificaciones PCI DSS, FedRAMP, CSA STAR o TISAX (no declaradas públicamente)