Historial de control de versiones, modelo de ramas y propiedad del código documentados

Pipeline de CI/CD con pruebas automatizadas y vía de reversión

El diagrama de arquitectura refleja la producción actual (no el pitch original)

Dependencias de terceros y licencias inventariadas

Gestión de secretos: sin credenciales en el código ni en documentos compartidos

Copias de seguridad verificadas con una prueba de restauración en los últimos 90 días

Registro, métricas y rotación de guardias definidos

Clasificación de datos, política de retención y plantilla de DPA en vigor

Postura de seguridad: SSO, MFA, mínimo privilegio, escaneo de vulnerabilidades

Riesgo de persona clave: ≥2 personas pueden desplegar y acceder a cada sistema crítico

Los contratos de clientes reflejan el stack real (uptime, regiones, subprocesadores)

Alcance normativo mapeado (GDPR/HIPAA/PSD2, etc.) con las carencias actuales listadas

¿Pasará tu startup la due diligence técnica?