Las partes aburridas, bien hechas.
Datos en reposo alojados en la UE, aislamiento con Firecracker para cada vista previa, TLS 1.3 + AES-256, controles de los proveedores cuando están disponibles, opción de excluir tus datos del entrenamiento en Max y Business y propiedad total del código. A continuación encontrarás los detalles, redactados para que puedas responder un cuestionario de seguridad sin necesidad de una llamada.
Cómo está construida VULK, en seis pilares.
Residencia de datos
La base de datos de producción es PostgreSQL 16 alojada en AWS RDS en eu-central-1 (Frankfurt). Servidores de aplicación en la UE. Activos estáticos distribuidos por CDN. Ningún registro de cliente sale de la UE sin una adenda explícita al DPA.
- ▸Base de datos principal: AWS RDS eu-central-1 (Fráncfort)
- ▸Servidores de aplicaciones y bases de datos de apps generadas: Hetzner, Falkenstein (Alemania)
- ▸CDN: nodos perimetrales globales de Cloudflare (solo HTTPS)
Aislamiento de generación
Cada vista previa en vivo corre en una microVM Firecracker dedicada, con kernel, rootfs y espacio de nombres de red propios. Un proyecto no puede leer ni afectar el árbol de procesos, sistema de archivos o red de otro. Las VMs se destruyen tras la sesión — sin estado persistente compartido.
- ▸MicroVM Firecracker por vista previa
- ▸Espacio de nombres de red + filtro de salida iptables
- ▸Rootfs efímero, destruido al fin de sesión
Cifrado
TLS 1.3 en tránsito en todas partes. AES-256 en reposo en RDS y R2 / S3. Secretos de cliente en un llavero (variables de entorno del lado app, nunca registradas, nunca devueltas en respuestas API). Cargas útiles de webhook firmadas con HMAC.
- ▸TLS 1.3 (solo HTTPS)
- ▸AES-256 en reposo (RDS, R2, S3)
- ▸Secretos nunca registrados ni devueltos
Política de proveedores de IA
Enrutamos vía OpenRouter a Anthropic, Google, OpenAI y otros. Preferimos rutas con controles que impiden el uso de datos para entrenamiento o su retención cuando están disponibles. La opción de excluir tus datos del entrenamiento de VULK está incluida en Max y Business.
- ▸Controles de retención del proveedor cuando están disponibles
- ▸Opción de excluir tus datos del entrenamiento en Max y Business
Autenticación
El inicio de sesión con OAuth usa PKCE y transacciones de autorización de un solo uso almacenadas en el servidor. Vinculación con el cliente de Stripe solo del lado del servidor. MFA opcional, SSO vía SAML / OIDC en Business, con entrega del registro de auditoría a tu SIEM.
- ▸OAuth con PKCE y cookies seguras HttpOnly
- ▸MFA opcional vía TOTP
- ▸SSO SAML / OIDC en Business
Propiedad del código
El código de cada proyecto es tuyo. Expórtalo a GitHub o como archivo zip; ejecútalo en tu infraestructura; cancela tu suscripción mañana y las aplicaciones que creaste seguirán funcionando. No tenemos una licencia sobre lo que generas ni condicionamos su ejecución a una suscripción SaaS.
- ▸Exportación completa del repo (GitHub o zip)
- ▸Sin entorno de ejecución propietario
- ▸Licenciable MIT según tus condiciones
Cómo gestionamos el cumplimiento.
Lo que hacemos hoy, dicho con claridad.
- RGPDAlineadoVULK es el responsable del tratamiento. DPA disponible bajo solicitud. Subprocesadores divulgados y notificados ante cambio.
- Acuerdo de tratamiento de datosDisponibleEnviado gratis en planes Pro y Business. Términos Enterprise revisados en 5 días laborales.
- PCI-DSSN/A — Stripe gestiona tarjetasLos datos de tarjeta nunca tocan los servidores VULK. Stripe Checkout / Elements gestiona todo el alcance PCI.
Quién más toca tus datos.
Estamos obligados a divulgar cada servicio externo que pueda procesar tus datos. La notificación de cambios forma parte del DPA.
| Servicio | Finalidad | Región |
|---|---|---|
| AWS (RDS, SSM) | Base de datos + gestión de secretos | eu-central-1 (Fráncfort) |
| Hetzner | Alojamiento de aplicación + vista previa | Falkenstein, Alemania |
| Cloudflare | CDN, DNS, almacenamiento R2, despliegue | Procesamiento global; jurisdicción R2: predeterminada (sin restricción a la UE) |
| Stripe | Facturación + procesamiento de pagos | UE + EE. UU. (cumple con PCI) |
| Resend | Email transaccional | EE. UU. (envío de correo) |
| OpenRouter | Enrutamiento de modelos de IA | Global (la retención depende de la ruta) |
| Replicate | Generación de imagen y vídeo | EE. UU. |
| Tencent Cloud | Generación de modelos 3D | Singapur |
| Sentry | Monitoreo de errores | UE |
¿Encontraste una vulnerabilidad? Cuéntanos primero.
Agradecemos la divulgación responsable de vulnerabilidades. Escribe a security@vulk.dev con los pasos para reproducir el problema, el comportamiento esperado frente al observado y cualquier evaluación de gravedad basada en CVSS. Confirmaremos la recepción en un plazo de 24 horas y evaluaremos y priorizaremos el caso en un plazo de 72. No exigimos un acuerdo de confidencialidad para hablar con un investigador.
Los hallazgos válidos reciben crédito público (o anónimo, a tu elección) en el registro de cambios.
Última revisión: April 30, 2026