Tuta Mail

Tutao GmbH está registrada en Deisterstr. 17a, 30449 Hannover, bajo HRB 208014 en el Amtsgericht Hannover. Los tres Geschäftsführer (administradores) son el cofundador Arne Möhle, el cofundador Matthias Pfau y Hanna Bozakov. Möhle y Pfau son los únicos accionistas -- Tuta afirma textualmente en el blog corporativo: «the company is wholly owned by Matthias and Arne, and is not liable to anyone else». Los buzones se almacenan en la infraestructura propia de Tutao en Alemania: Tutao GmbH es un Local Internet Registry de RIPE que opera AS210909 y anuncia 185.205.69.0/24 y 2a10:e000:1::/48 directamente. Tuta declara que los centros de datos son «ISO 27001 certified data centers in Germany»; la certificación cubre a los operadores del centro de datos, no a Tutao GmbH como entidad. Las Condiciones del Servicio de Tuta someten el contrato al derecho alemán y a la jurisdicción de Hannover.

No, no de forma directa. Tutao GmbH no tiene matriz constituida en EE. UU., ni filial estadounidense, ni oficinas fuera de Alemania; los fundadores, la sede y la infraestructura de producción son alemanes. Tuta afirma textualmente que «Tutao GmbH only responds to valid warrants issued by German courts» y «German companies are not allowed to share customer's information with foreign law enforcement». Existe una exposición indirecta a través de un pequeño conjunto de subencargados con domicilio estadounidense: el DNS autoritativo de tuta.com y tutanota.com se aloja en AWS Route 53; la facturación de suscripciones para iOS pasa por Apple (compra dentro de la app desde el 12 de julio de 2024); la facturación de suscripciones para Android pasa por Google Play; PayPal y un procesador de tarjetas no identificado gestionan los pagos de suscripción. Ninguno de esos encargados puede descifrar el contenido cifrado del buzón.

Los cuerpos de los mensajes, los asuntos y los adjuntos; los calendarios completos incluidos los metadatos de los eventos como títulos, notificaciones y recordatorios; los contactos (cumpleaños, comentario, empresa, nombre, apellido, alias, cargo, título, direcciones, direcciones de correo, números de teléfono, IDs sociales); las reglas y filtros del buzón; y el índice de búsqueda completo, que se construye y se almacena en el dispositivo del cliente. Los únicos datos que permanecen sin cifrar son las direcciones de correo del remitente y del destinatario y las marcas temporales, porque los estándares del protocolo de correo exigen que los metadatos de enrutamiento queden en claro. Las notificaciones push se entregan a través del servicio propio de Tuta, de código abierto, oculto a Apple y Google. Las primitivas criptográficas son AES-256 / HMAC-SHA-256 simétricas, Argon2 / HKDF-SHA-256 para la derivación de claves y, desde el 11 de marzo de 2024, el intercambio híbrido poscuántico TutaCrypt Kyber-1024 + x25519 para las cuentas nuevas (RSA-2048 se conserva por compatibilidad con cuentas heredadas).

Los clientes web, iOS, Android y de escritorio (Windows / macOS / Linux) de Tuta y el código de la infraestructura backend son de código abierto bajo GPL-3.0 en github.com/tutao/tutanota (7.580 estrellas, 619 forks, 938 versiones etiquetadas). La app para Android se publica en Google Play y como build sin Google Play Services en F-Droid (según Wikipedia, Tuta es el primer proveedor de correo en publicar en F-Droid). Tuta es miembro de Open Invention Network (incorporación en 2017). La marca Tutao es propiedad de la empresa. No hay un flujo documentado de autoalojamiento para el lado servidor -- ejecutar tu propio clúster de buzones de Tuta es técnicamente posible a partir del árbol de fuentes públicas, pero no es una vía productizada. La mayoría de los compradores con criterios de adquisición usarán los planes Business alojados (Essential, Advanced o Unlimited) bajo un Auftragsverarbeitungsvertrag.

El informe de transparencia se actualiza cada seis meses e incluye un warrant canary. El informe del segundo semestre de 2025 (1 de julio - 31 de diciembre de 2025) muestra 165 solicitudes de datos de inventario con 19 atendidas (~88 % de rechazo), 25 solicitudes de datos de tráfico en tiempo real con 19 atendidas, 16 solicitudes de datos de contenido almacenado con 8 atendidas y 14 solicitudes de datos de contenido en tiempo real con 12 atendidas. Tuta afirma que a lo largo del año natural 2025 rechazó el 75 % de todas las solicitudes de las autoridades. Incluso con una orden judicial alemana válida, Tuta no puede descifrar el contenido del buzón -- solo se pueden entregar los datos de inventario (banca / PayPal / metadatos de tarjeta) y los metadatos de enrutamiento (remitente / destinatario / marcas temporales). El canary afirma textualmente: «Tuta (formerly Tutanota) has never received any National Security Letters or FISA court orders, and we have not been subject to any gag order by a FISA court».

Tuta no publica una URL única de subencargados al modo en que lo hacen la mayoría de los proveedores B2B SaaS. Los proveedores que tocan datos de cliente se enumeran de forma dispersa en la política de privacidad, en la entrada del blog sobre los pagos en iOS y en el imprint. La lista es pequeña por diseño: AWS Route 53 para el DNS autoritativo, PayPal Europe S.à r.l. et Cie S.C.A. para los pagos con PayPal, un procesador de tarjetas no identificado para los pagos con tarjeta, entidades de crédito alemanas para los adeudos directos SEPA, Apple Inc. para las suscripciones in-app de iOS (desde el 12 de julio de 2024), Google LLC para la facturación en Android a través de Google Play, INWX GmbH como registrador de dominios y tránsito BGP a través de Arelion (AS1299, Suecia) y kyberio GmbH (AS24679, Alemania). Los planes Business incluyen un Acuerdo de Tratamiento de Datos a petición a través del canal comercial.