Seguridad
Veracium está construido para que la exposición de un solo componente no exponga a las personas sobre el terreno.
Dónde está Veracium hoy — Fase 0 (Beta)
La arquitectura descrita debajo es el sistema objetivo. La beta opera actualmente con un único custodio KYC, claves de firma almacenadas en software y minimización de datos en lugar de pruebas de conocimiento cero. Cada punto se marca como entregado o roadmap. Objetivo de lanzamiento público: agosto de 2026.
Arquitectura en una frase
El sistema es un intermediario ciego: el periodista* sabe quién es; la redacción sabe lo que ha recibido; y Veracium opera la capa intermedia sin sostener nunca ambas mitades en claro.
Cómo se sostiene
- Sellado en el dispositivo (entregado) — SHA-256 sobre GPS, marca de tiempo e identificador de dispositivo se calcula en el dispositivo antes de cualquier transmisión. No podemos manipular lo que nunca vemos en bruto.
- Firma respaldada por hardware (roadmap, antes del lanzamiento público) — Objetivo: claves alojadas en el Secure Enclave / StrongBox del dispositivo, atestadas vía App Attest / Play Integrity, de modo que no puedan extraerse — ni siquiera por Veracium. La beta usa claves almacenadas en software; la vinculación por hardware es P1 antes del lanzamiento público.
- Custodia de identidad (hoy Fase 0, objetivo multi-custodio) — Arquitectura objetivo: el vínculo entre seudónimo del periodista e identidad real se reparte entre varios custodios independientes vía Shamir Secret Sharing, con umbral 2-de-3 para divulgación. La beta opera con un solo custodio KYC; se están reclutando más antes del lanzamiento público.
- Pruebas de nivel por minimización de datos (zk-SNARKs en roadmap) — Las redacciones solo ven que un periodista tiene el nivel requerido, no quién es. Hoy se aplica mediante minimización de datos en el servidor. Las pruebas de conocimiento cero (zk-SNARKs) son investigación de Fase 2, no una propiedad entregada.
- Alojado en la UE, jurisdicción UE (entregado) — Todos los datos de producción residen en PostgreSQL en Frankfurt (eu-central-1). Sin transferencia de datos a EE. UU. para registros operacionales.
Contra qué no protegemos
Somos explícitos con los límites. Veracium no protege contra:
- Captura forzada por una parte hostil presente en el lugar.
- Un periodista que escenifica deliberadamente una escena que luego se sella con veracidad.
- Una redacción que vuelve a publicar la captura sin el certificado adjunto.
Para cada uno de estos, el certificado y el registro de cadena de custodia están diseñados para hacer detectable el problema a posteriori, incluso si no era prevenible en el momento.
Reportar una vulnerabilidad
jorg@veracium.io · huella PGP en /about. Respondemos en 72 horas y reconocemos la divulgación responsable en la página del proyecto.
Cumplimiento
Dos categorías: lo que monitoreamos activamente — y lo que está diseñado dentro del sistema.
Monitoreado activamente
RGPD (EU 2016/679)
Registro de actividades de tratamiento mantenido. DPIA en archivo. Representante UE designado.
EU AI Act
El uso de Claude Vision por Veracium está clasificado, monitoreado frente a las obligaciones para sistemas de IA de riesgo limitado, y revisado trimestralmente.
NIS2
Como proveedor de infraestructura digital, Veracium se prepara para el cumplimiento de NIS2 antes del plazo de transposición alemán.
Protección al denunciante
Canal interno y socio externo de reportes según la Directiva UE de Denunciantes.
Diseñado dentro
RGPD por diseño y por defecto (Art. 25)
Minimización, seudonimización y limitación de la finalidad están integradas en el modelo de datos, no añadidas.
Artículo 85 (excepción periodística)
La plataforma está diseñada para operar dentro de la implementación alemana de la excepción periodística, manteniendo los estándares sustantivos del RGPD donde aplican.
Certificados compatibles con C2PA
Cada certificado de Veracium está estructurado para mapearse a aserciones C2PA, permitiendo interoperabilidad con el ecosistema de provenance más amplio.
Preparación para BSI C5
La arquitectura está diseñada frente al catálogo BSI C5, con vistas a la certificación cuando Veracium opere a la escala en que C5 sea requerido.
Para preguntas específicas de cumplimiento: jorg@veracium.io.