VALENXE DYNAMICS

Registro de confianza

No pedimos que confíes en nosotros: publicamos cada control de este sitio, quién es responsable, cómo está implementado, la evidencia que lo respalda y lo que todavía falta.

Resumen

  • Implementado: 14
  • Parcial: 13
  • Pendiente: 2
  • No aplica: 3

Controles

BIZ-ID · Identidad legal, NIT, matrícula, jurisdicción y domicilio publicados

Parcial
Área
Transparencia
Responsable
Responsable legal
Implementación
Datos centralizados en src/lib/site.ts; se muestran en pie de página y textos legales.
Evidencia
Pie de página del sitio muestra marcadores [PENDIENTE].
Riesgo
Alto
Remediación
Completar razón social, NIT, matrícula y domicilio desde el certificado de Cámara de Comercio.
Próxima revisión

BIZ-CONTACT · Canal de contacto funcional

Parcial
Área
Transparencia
Responsable
Responsable técnico
Implementación
Formulario /contacto con Server Action, validación en servidor y entrega por Resend.
Evidencia
src/app/contacto/actions.ts. Sin variables RESEND_* el formulario informa que el canal no está activo.
Riesgo
Alto
Remediación
Crear buzón corporativo, verificar dominio en Resend y configurar RESEND_API_KEY, CONTACT_TO_EMAIL, CONTACT_FROM_EMAIL en Vercel.
Próxima revisión
Parcial
Área
Transparencia
Responsable
Responsable legal
Implementación
Páginas /legal/* con estado y fecha de revisión visibles.
Evidencia
/legal/terminos, /legal/privacidad, /legal/cookies, /legal/propiedad-intelectual, /legal/terceros
Riesgo
Alto
Remediación
Revisión por abogado; retirar la marca BORRADOR solo después de esa revisión.
Próxima revisión

BIZ-REFUND · Política de reembolsos/cancelación

No aplica
Área
Transparencia
Responsable
Responsable legal
Implementación
No hay ventas ni pagos en línea. Los servicios se contratan por contrato individual.
Evidencia
Ausencia de pasarela de pago (ver /legal/terceros).
Riesgo
Bajo
Remediación
Crear la política antes de habilitar cualquier venta en línea.
Próxima revisión

BIZ-UGC · Política de contenido generado por usuarios

No aplica
Área
Transparencia
Responsable
Responsable legal
Implementación
El sitio no publica contenido de usuarios. El formulario es privado.
Evidencia
No existen comentarios, foros ni perfiles públicos.
Riesgo
Bajo
Remediación
Crear política y moderación antes de agregar contenido público de usuarios.
Próxima revisión

PRV-MIN · Minimización y limitación de finalidad

Implementado
Área
Privacidad
Responsable
Responsable de privacidad
Implementación
El formulario pide solo nombre, correo, empresa (opcional) y mensaje. Sin base de datos; no hay cuentas de usuario.
Evidencia
src/app/contacto/schema.ts
Riesgo
Bajo
Remediación
Revisar cada campo nuevo contra una finalidad documentada.
Próxima revisión

PRV-INV · Inventario y clasificación de datos

Implementado
Área
Privacidad
Responsable
Responsable de privacidad
Implementación
Tabla de datos tratados, clasificación y retención en la política de privacidad.
Evidencia
/legal/privacidad (sección Datos que tratamos)
Riesgo
Medio
Remediación
Actualizar al agregar cualquier formulario, proveedor o flujo de datos.
Próxima revisión

PRV-RET · Retención y eliminación

Parcial
Área
Privacidad
Responsable
Responsable de privacidad
Implementación
Mensajes: máx. 24 meses en el buzón. Rate limit: 10 min. Logs: según Vercel.
Evidencia
/legal/privacidad. La depuración del buzón es manual.
Riesgo
Medio
Remediación
Configurar regla de retención automática en el buzón corporativo y registrar la depuración trimestral.
Próxima revisión

PRV-DSR · Derechos del titular: acceso, rectificación, supresión, portabilidad, revocación

Parcial
Área
Privacidad
Responsable
Responsable de privacidad
Implementación
Flujo /privacidad/solicitudes con tipo de solicitud, ID de seguimiento y plazos legales publicados.
Evidencia
/privacidad/solicitudes; depende del canal de contacto (BIZ-CONTACT).
Riesgo
Alto
Remediación
Activar el canal y documentar el procedimiento interno de verificación de identidad.
Próxima revisión
Implementado
Área
Privacidad
Responsable
Responsable de privacidad
Implementación
Casilla obligatoria no premarcada + aviso; evento de auditoría sin PII; retiro vía solicitud de revocación.
Evidencia
contact-form.tsx; log 'audit contact.delivered' con consentGiven y requestId.
Riesgo
Medio
Remediación
Conservar el correo recibido como prueba de la autorización mientras dure la retención.
Próxima revisión

PRV-XFER · Transferencias internacionales

Parcial
Área
Privacidad
Responsable
Responsable legal
Implementación
Declaradas en la política (Vercel, Resend en EE. UU.).
Evidencia
/legal/privacidad, /legal/terceros
Riesgo
Medio
Remediación
Validar con abogado el mecanismo aplicable según la jurisdicción definitiva.
Próxima revisión

PRV-SENS · Datos sensibles

Implementado
Área
Privacidad
Responsable
Responsable de privacidad
Implementación
No se solicitan. El formulario advierte no incluirlos.
Evidencia
Texto de ayuda del campo Mensaje.
Riesgo
Bajo
Remediación
—
Próxima revisión

CK-INV · Inventario de cookies y separación necesarias/opcionales

Implementado
Área
Cookies
Responsable
Responsable técnico
Implementación
El sitio no establece cookies propias. Sin trackers de terceros.
Evidencia
/legal/cookies. Verificable en DevTools → Application → Cookies.
Riesgo
Bajo
Remediación
Revisar en cada despliegue que no aparezcan cookies nuevas.
Próxima revisión
No aplica
Área
Cookies
Responsable
Responsable de privacidad
Implementación
No requerido: no hay cookies ni tracking no esencial. No se muestra un banner innecesario.
Evidencia
CK-INV
Riesgo
Bajo
Remediación
Implementar consentimiento previo y registrable ANTES de añadir cualquier analítica o marketing.
Próxima revisión

AN-MIN · Analítica mínima y respetuosa de la privacidad

Implementado
Área
Analítica
Responsable
Responsable técnico
Implementación
Sin analítica. La CSP bloquea scripts de terceros no autorizados.
Evidencia
Header Content-Security-Policy (script-src con nonce).
Riesgo
Bajo
Remediación
Si se requiere, preferir analítica sin cookies y agregada; documentar aquí.
Próxima revisión

FRM-VAL · Validación cliente + servidor, mensajes de error claros, estado de éxito

Implementado
Área
Formularios
Responsable
Responsable técnico
Implementación
La misma función validate() corre en cliente (UX) y servidor (autoridad).
Evidencia
src/app/contacto/schema.ts, actions.ts
Riesgo
Medio
Remediación
—
Próxima revisión

FRM-ABUSE · Protección anti-abuso y rate limiting

Parcial
Área
Formularios
Responsable
Responsable técnico
Implementación
Honeypot, time-trap de 3 s, límite 5 envíos/10 min por IP con hash.
Evidencia
src/lib/rate-limit.ts
Riesgo
Medio
Remediación
Sin Upstash el límite es por instancia serverless. Configurar UPSTASH_* para límite global.
Próxima revisión

FRM-CSRF · Protección CSRF

Implementado
Área
Formularios
Responsable
Responsable técnico
Implementación
Server Actions de Next.js validan Origin contra Host; form-action 'self' en CSP.
Evidencia
Comportamiento del framework (docs Next.js: Server Actions security).
Riesgo
Bajo
Remediación
—
Próxima revisión

A11Y · WCAG 2.2 AA: semántica, teclado, foco, etiquetas, errores, contraste, movimiento reducido, objetivos táctiles

Parcial
Área
Accesibilidad
Responsable
Responsable técnico
Implementación
Skip-link, landmarks, menú con aria-expanded y Escape, foco visible, errores enlazados con aria-describedby, parallax desactivado con prefers-reduced-motion, objetivos ≥ 44 px.
Evidencia
Código implementado; falta reporte de pruebas.
Riesgo
Medio
Remediación
Ejecutar axe/Lighthouse en CI y prueba manual con NVDA + solo teclado; adjuntar resultados.
Próxima revisión

CNT-CLAIMS · Clasificación de afirmaciones; sin telemetría, clientes ni métricas simuladas presentadas como reales

Implementado
Área
Contenido
Responsable
Responsable legal
Implementación
Se retiraron 'ONLINE', '0 Amenazas · Perímetro Blindado' y el 88% del hero. Visuales etiquetados como SIMULACIÓN.
Evidencia
src/components/hero-visual.tsx; tabla de clasificación en /confianza.
Riesgo
Alto
Remediación
Revisar toda nueva página contra esta regla antes de publicar.
Próxima revisión

IP-ASSETS · Licencias de fuentes, íconos, imágenes y dependencias

Parcial
Área
Propiedad intelectual
Responsable
Responsable legal
Implementación
Geist (SIL OFL 1.1), Lucide (ISC). Sin imágenes ni videos de terceros. Logotipo provisional tipográfico.
Evidencia
/legal/propiedad-intelectual; `npx license-checker --summary` en CI.
Riesgo
Bajo
Remediación
Registrar la marca ante la SIC (si aplica) y documentar procedencia del logotipo definitivo.
Próxima revisión

SEC-HDR · CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, COOP, CORP

Implementado
Área
Seguridad web
Responsable
Responsable técnico
Implementación
CSP con nonce por request (src/proxy.ts); resto en next.config.ts. Excepciones: style-src 'unsafe-inline' (atributos style de React); COEP no habilitado (sin necesidad de aislamiento); HSTS sin preload.
Evidencia
curl -sI https://www.valenxedynamics.com · securityheaders.com
Riesgo
Medio
Remediación
Verificar tras cada despliegue; revisar violaciones reportadas a /api/csp-report.
Próxima revisión

SEC-ERR · Errores sin trazas ni detalles internos, con ID de soporte

Implementado
Área
Seguridad web
Responsable
Responsable técnico
Implementación
error.tsx / global-error.tsx muestran mensaje seguro + digest. not-found propio.
Evidencia
src/app/error.tsx, global-error.tsx, not-found.tsx
Riesgo
Medio
Remediación
—
Próxima revisión

SEC-DISC · Divulgación responsable (/seguridad y security.txt RFC 9116)

Parcial
Área
Seguridad web
Responsable
Responsable técnico
Implementación
Política publicada; /.well-known/security.txt generado desde la configuración.
Evidencia
/seguridad, /.well-known/security.txt
Riesgo
Medio
Remediación
Definir buzón security@ y renovar el campo Expires anualmente.
Próxima revisión

SEC-DNS · Endurecimiento de dominio: 2FA registrador, bloqueo de transferencia, CAA, SPF/DKIM/DMARC

Pendiente
Área
Seguridad web
Responsable
Responsable técnico
Implementación
Configuración externa en GoDaddy.
Evidencia
—
Riesgo
Alto
Remediación
Ver README → 'Endurecimiento del dominio'.
Próxima revisión

SC-LOCK · Lockfile y dependencias mínimas

Implementado
Área
Cadena de suministro
Responsable
Responsable técnico
Implementación
package-lock.json versionado; `npm ci` en CI. Se eliminaron framer-motion, gsap, clsx y tailwind-merge (no usados).
Evidencia
package.json, package-lock.json
Riesgo
Medio
Remediación
Justificar cada nueva dependencia (mantenimiento, licencia, tamaño, alternativas).
Próxima revisión

SC-SCAN · SCA, SAST, escaneo de secretos, SBOM

Parcial
Área
Cadena de suministro
Responsable
Responsable técnico
Implementación
GitHub Actions: npm audit, CodeQL, gitleaks, SBOM CycloneDX (npm sbom) como artefacto.
Evidencia
.github/workflows/ci.yml, codeql.yml
Riesgo
Medio
Remediación
Confirmar primera ejecución verde en GitHub y activar Secret scanning + push protection en el repositorio.
Próxima revisión

SC-UPDATE · Actualizaciones automatizadas con pruebas y política de vulnerabilidades críticas

Parcial
Área
Cadena de suministro
Responsable
Responsable técnico
Implementación
Dependabot semanal agrupado; los PR pasan CI antes de merge. Críticas: triage en 72 h.
Evidencia
.github/dependabot.yml, SECURITY.md
Riesgo
Medio
Remediación
Activar Dependabot alerts en la configuración del repositorio.
Próxima revisión

SC-REPO · Protección de rama main, 2FA, commits firmados, entornos de despliegue protegidos

Pendiente
Área
Cadena de suministro
Responsable
Responsable técnico
Implementación
Configuración en GitHub y Vercel (no reside en el código).
Evidencia
—
Riesgo
Alto
Remediación
Ver README → 'Configuración de GitHub y Vercel'.
Próxima revisión

OBS-LOG · Logs estructurados, eventos de seguridad y auditoría, IDs de correlación, sin secretos ni PII

Implementado
Área
Observabilidad
Responsable
Responsable técnico
Implementación
src/lib/log.ts (JSON + redacción). x-request-id propagado desde proxy a errores y formulario.
Evidencia
Panel de logs de Vercel: filtrar por event:contact.*
Riesgo
Medio
Remediación
Agregar drenaje de logs/alertas si el volumen lo justifica.
Próxima revisión

RES-DEGRADE · Degradación ante fallas de terceros

Implementado
Área
Resiliencia
Responsable
Responsable técnico
Implementación
Timeouts en todas las llamadas externas; rate limit cae a memoria; formulario informa error sin perder lo escrito.
Evidencia
actions.ts, rate-limit.ts
Riesgo
Bajo
Remediación
—
Próxima revisión

RES-BACKUP · Backups, RTO/RPO, restauración

Parcial
Área
Resiliencia
Responsable
Responsable técnico
Implementación
Sitio sin base de datos. Fuente de verdad = repositorio Git. RTO objetivo: 1 h (redeploy). RPO: último commit.
Evidencia
Historial de despliegues en Vercel (rollback instantáneo).
Riesgo
Bajo
Remediación
Mantener copia del repositorio fuera de GitHub y probar un redeploy desde cero una vez por trimestre.
Próxima revisión

Clasificación del contenido

Cada afirmación pública se clasifica como hecho, opinión, afirmación comercial, demostración, simulación o arquitectura de referencia. No publicamos clientes, certificaciones, cifras ni alianzas que no podamos demostrar.

ContenidoUbicaciónClasificaciónFundamento
Tarjetas del hero (agente de datos, controles DevSecOps, IaC)InicioSIMULACIÓNIlustración decorativa; etiquetada en pantalla.
Descripción de serviciosInicio → ServiciosAFIRMACIÓN COMERCIALDescribe la oferta. No implica clientes ni resultados medidos.
Metodología de trabajoInicio → Cómo trabajamosAFIRMACIÓN COMERCIALCompromiso de proceso; este sitio sirve como ejemplo verificable.
Controles de este sitio y su estado/confianzaHECHOVerificable en el código y en los headers HTTP.
“La confianza se construye con evidencia”InicioOPINIÓNPostura de la empresa.

Lo que no afirmamos

Ningún sistema es “100 % seguro” ni “inhackeable”. No usamos esas expresiones. Si encuentras una afirmación en este sitio que no esté respaldada, repórtala en contacto.