Alcance, métricas, arquitectura, cumplimiento y roadmap de onboarding · TrustLayer · by VeriMsg · 2026.
VeriMsg es el motor anti-fraude que las entidades reguladas europeas necesitan tener operativo antes de ser auditadas por DORA. Este documento describe cómo pasar de una primera reunión a un piloto cerrado en 8 semanas.
Un algoritmo de orquestación que ejecuta once fases de verificación especializadas sobre cualquier mensaje, enlace, imagen o documento sospechoso. Devuelve un veredicto auditable — SCAM · LEGIT · DUDOSO — con score de confianza y señales trazables por fase. Integrable como API o como capa white-label TrustLayer · by VeriMsg sobre sus propios canales.
Un interlocutor técnico (equipo de fraude o producto), acceso a un canal de prueba (SMS gateway, bandeja de email corporativa, endpoint app) y firma de NDA + DPIA antes del día 15. Nada más. El resto lo aportamos nosotros.
TrustLayer convierte el motor VeriMsg en un servicio integrable a nombre de su entidad. Un tenant por partner, con configuración propia y aislamiento a nivel de datos.
Sin TrustLayer, un cliente final de su banco o aseguradora que recibe un SMS sospechoso tiene que descargarse una app externa para verificarlo. Con TrustLayer, la misma verificación ocurre dentro del entorno del partner: su app móvil, su chat de cliente, su correo electrónico corporativo, su call center. La marca que ve el usuario es la del partner; el motor detrás es VeriMsg.
| Canal | Entrada del usuario | Latencia | Salida al cliente |
|---|---|---|---|
| SMS | Texto plano reenviado | < 1 s | Verdict + explicación corta |
| Cabeceras + cuerpo | < 1 s | + análisis de dominio emisor | |
| URL | Enlace aislado | < 1 s | + reputación del dominio |
| Imagen | Captura o foto | 1 – 2 s | + detección de suplantación visual |
| Factura · notificación | 2 – 3 s | + análisis de documento |
Los datos que el partner envía al motor son tratados bajo contrato de encargado del tratamiento. No se usan para entrenar modelos, no se cruzan con los datos de otros partners, no se ceden. El branding público es 100 % del partner — VeriMsg aparece únicamente en la letra pequeña del footer como motor proveedor, si el partner lo desea.
Un piloto sin métricas es un favor. Aquí están los ocho KPIs que firmamos con cada partner antes del día 1 y que revisamos juntos en el informe de cierre.
Un tenant dedicado por partner con branding, flags y escenarios independientes. El partner decide qué canales envían al motor y qué hace con la respuesta.
| Modo | Esfuerzo | Latencia añadida | Cuándo |
|---|---|---|---|
| API REST directa | 2 – 3 semanas | Red + 0 | Integración desde backend propio del partner |
| Widget embebido | 1 – 2 semanas | Red + 0 | App móvil o web del partner sin tocar backend |
| Gateway sectorial | 4 – 6 semanas | Red + filtrado | Telco (SMS) o email corporativo · filtrado en capa red |
| Webhook asíncrono | 2 semanas | Asíncrono | Análisis batch de históricos · reporting |
Cada tenant opera sobre su propio espacio de datos, con credenciales independientes y logs separados. Infraestructura cloud europea con redundancia geográfica. Los datos no cruzan fronteras UE sin consentimiento contractual explícito.
VeriMsg está diseñado desde el origen para operar como proveedor de entidades reguladas. La documentación de cumplimiento se entrega firmada en el día 1 del piloto.
VeriMsg aporta la capa operativa exigida por el Art. 5: detección multi-canal, respuesta automatizada al cliente final, reporting con trazabilidad por fase para el auditor. No reemplaza al SOC del partner — lo complementa en el punto exacto donde la norma pide actuar.
| Documento | Cuándo | Formato |
|---|---|---|
| NDA mutuo | Día 0 · antes del workshop | PDF firmable |
| DPIA · Data Processing Addendum | Día 1 · semana diagnóstico | Plantilla RGPD Art. 28 |
| Lista de sub-procesadores | Día 1 | PDF + URL pública |
| Ficha técnica de seguridad | Día 1 | PDF 6 páginas |
| Roadmap ISO 27001 | Día 1 | Documento de estado |
| Protocolo de notificación de incidentes | Día 15 | Procedimiento firmable |
| Informe de piloto | Semana 8 | PDF 15 páginas · KPIs + hallazgos |
Uno · Los datos del partner permanecen en la UE salvo instrucción explícita en contrato. Dos · No se utilizan datos del partner para entrenar modelos genéricos de VeriMsg; cualquier fine-tuning sobre sus datos requiere autorización escrita. Tres · Los tenants están aislados — ningún partner ve, accede ni deduce información sobre otro partner.
Cada semana tiene un entregable firmable. Si una fase no cumple su entregable, paramos y rehacemos el alcance antes de continuar. No forzamos la entrega a tiempo si la calidad no está.
La decisión de pasar a contrato anual se toma en la semana 8, sobre los KPIs firmados en la semana 1. No hay letra pequeña: los tres umbrales están en papel antes de arrancar.
| Escenario | Criterio | Qué ocurre |
|---|---|---|
| Piloto apto | ≥ 6 de 8 KPIs superan objetivo | Se firma contrato anual · ACV a medida según vertical y volumen |
| Piloto borderline | 4 – 5 KPIs superan objetivo | Extensión pagada de 4 semanas para cerrar brechas · decisión final semana 12 |
| Piloto no apto | < 4 KPIs superan objetivo | Devolución del 50 % del coste del piloto · informe con causas · sin obligación para el partner |
Cualquiera de las dos partes puede cancelar el piloto en cualquier momento con notificación escrita de 10 días hábiles. Si la cancelación viene del partner antes de la semana 4, se reembolsa el 100 % del importe; entre la semana 4 y la 6, el 50 %; después de la semana 6, el coste queda facturado. El partner conserva la propiedad de todos sus datos.
Un analista de VeriMsg viaja a su oficina (o por videoconferencia) y prepara el scoping del piloto en dos horas. Sin coste, sin compromiso, sin venta. Sólo diagnóstico.