Proton

Proton AG es propiedad de la Proton Foundation (Fondation Proton), una fundación suiza sin ánimo de lucro registrada como CHE-418.863.304. La fundación se convirtió en accionista principal de Proton AG el 17 de junio de 2024 y su objeto vinculante es, en sus propias palabras, 'promover el avance de la privacidad, la libertad y la democracia en todo el mundo'. La fundación puede bloquear adquisiciones hostiles y Proton se compromete a aportar el 1 % de los ingresos netos a la fundación cuando las condiciones lo permitan. Las acciones restantes están en manos de empleados de Proton, la fundación ginebrina de innovación FONGIT y usuarios particulares de Proton.

Todo el contenido de los usuarios -- correos, archivos, entradas de calendario, bóvedas de contraseñas y datos de sesión de VPN -- se almacena en hardware propiedad de Proton en Suiza. El centro de datos principal de Proton está en Zúrich. El cifrado de extremo a extremo con arquitectura sin acceso (zero-access) implica que la propia Proton no puede leer el contenido de los datos de los usuarios; solo se conservan metadatos como la fecha de creación de la cuenta y la dirección IP utilizada en el registro, y esos metadatos pueden omitirse pagando en efectivo. La región no es configurable por el cliente; Suiza es la única jurisdicción.

Proton AG tiene su domicilio en Suiza, sin filial estadounidense ni matriz con sede en Estados Unidos -- la CLOUD Act no alcanza directamente a Proton AG. No obstante, varios subencargados comerciales de Proton están constituidos en Estados Unidos y gestionan datos operativos limitados: Stripe, Chargebee y PayPal para el procesamiento de pagos; Zendesk para la atención al cliente; Calendly para la programación de reuniones de ventas. Ninguno de estos subencargados accede al contenido cifrado de los usuarios: solo ven los metadatos necesarios para su función específica. El artículo 271 del Código Penal suizo prohíbe además a Proton responder directamente a requerimientos de autoridades extranjeras que no se canalicen a través de las autoridades suizas.

La lista canónica de subencargados de Proton se encuentra en la sección 3.1 de la política de privacidad en https://proton.me/legal/privacy -- el Acuerdo de Tratamiento de Datos remite expresamente a esta sección como documento de referencia. No existe una página independiente de subencargados (/legal/subprocessors devuelve 404). Los subencargados nombrados actualmente son Stripe, Chargebee, PayPal, Zendesk y Calendly, que gestionan exclusivamente datos de pago o de soporte.

Proton AG dispone de la certificación ISO/IEC 27001:2022 (certificación inicial en mayo de 2024, acreditada por ANAB, ciclo de tres años con auditorías de seguimiento anuales) y completó su primera atestación SOC 2 Type II en julio de 2025, auditada por Schellman. El marco de cumplimiento cubre, además, el RGPD, la LPD suiza revisada, HIPAA, CCPA, CJIS y PCI. Han realizado auditorías de código independientes de terceros Cure53 (la más reciente: Proton Pass, julio de 2023) y Securitum (la más reciente: auditoría no-logs de Proton VPN, agosto de 2025 -- la cuarta revisión anual consecutiva).

Sí. Todas las aplicaciones cliente de Proton son de código abierto en dos organizaciones de GitHub: github.com/ProtonMail (Mail, Drive, Calendar, Bridge, clientes móviles y la biblioteca criptográfica gopenpgp) y github.com/protonpass (Pass y el Authenticator independiente). Los clientes principales están bajo licencia GPL-3.0; las bibliotecas criptográficas (gluon, go-proton-api, go-crypto, pmcrypto, gopenpgp) están bajo MIT o BSD-3-Clause. Todos los clientes han pasado auditorías independientes de terceros.