en este punto como yo lo veo es que tenemos 2 opciones:

1. Mantener nuestra posicion de que esta tercerizada la infraestructura mencionando que nuestro proveedor no nos comparte esa información.
2. Decir que para el caso de BBVA se desplegaría la aplicacion en una nube como la de aws, sin embargo se va a necesitar investigar como trata AWS esos puntos.

ninguna de las 2 opciones es ideal pero no se me ocurre de que otra manera proceder para cubrir los puntos que piden en el documento