Política de Divulgación Responsable de Vulnerabilidades
FIVES LEGAL SAS agradece los reportes de buena fe que ayudan a proteger a los usuarios de Deley.io. Esta Política establece cómo reportar una vulnerabilidad y las condiciones bajo las cuales una investigación se considera autorizada.
1. Cómo reportar
Envíe su reporte exclusivamente a seguridad@deley.io, con: descripción de la vulnerabilidad, pasos para reproducirla, sistema o dirección afectada, impacto estimado y sus datos de contacto. No envíe datos personales de terceros que haya podido observar; describa su existencia sin copiarlos.
2. Alcance
Están dentro del alcance los sitios y aplicaciones operados por FIVES LEGAL bajo el dominio deley.io, el complemento Deley para Microsoft Word y los conectores oficiales de Deley. Están fuera del alcance:
- Los sistemas de proveedores externos, aunque Deley.io los utilice. Las vulnerabilidades en esos sistemas deben reportarse al proveedor correspondiente.
- Ataques de denegación de servicio o pruebas que degraden el servicio.
- Ingeniería social, phishing o ataques contra el personal, los colaboradores o los usuarios de FIVES LEGAL.
- Acceso físico a instalaciones o dispositivos.
- Resultados de herramientas automatizadas sin demostración de impacto real.
- Hallazgos de bajo impacto sin vía de explotación demostrable, como la ausencia de encabezados de seguridad, la enumeración de usuarios sin consecuencia adicional o la configuración de registros de correo.
3. Reglas de conducta
Para que su investigación se considere autorizada, usted debe:
- Utilizar únicamente cuentas propias creadas para la prueba.
- Detenerse en cuanto confirme la vulnerabilidad y no acceder, copiar, modificar ni eliminar datos de otros usuarios. Si accede accidentalmente a datos de terceros, detenga la prueba, no conserve esos datos y repórtelo de inmediato.
- No establecer accesos persistentes, no escalar privilegios más allá de lo necesario para demostrar el problema y no pivotar hacia otros sistemas.
- No ejecutar pruebas automatizadas de alto volumen y respetar los límites de uso del servicio.
- Mantener la confidencialidad del hallazgo hasta que FIVES LEGAL lo haya corregido y haya autorizado por escrito su divulgación, o hasta que transcurran noventa (90) días desde el reporte sin que FIVES LEGAL haya adoptado medidas, previa comunicación a seguridad@deley.io.
- Cumplir las leyes aplicables, incluidas las obligaciones que la Ley Orgánica para el Fortalecimiento de la Ciberseguridad y su normativa de desarrollo impongan a quien realice pruebas de seguridad.
4. Autorización
4.1 La investigación realizada de buena fe y conforme a esta Política se considera autorizada por FIVES LEGAL, como titular del derecho sobre sus sistemas, para efectos del artículo 234 del Código Orgánico Integral Penal. FIVES LEGAL no presentará denuncia ni ejercerá acciones civiles contra quien la realice.
4.2 Esta autorización: (a) se limita a los sistemas dentro del alcance; (b) no se extiende a sistemas de terceros ni vincula a terceros o a las autoridades; y (c) queda sin efecto respecto de quien incumpla las reglas de la cláusula 3 o las condiciones de la cláusula 5.
5. Sin recompensas económicas
5.1 Esta Política no ofrece recompensas económicas. FIVES LEGAL podrá, a su discreción y con consentimiento del investigador, reconocer públicamente su contribución.
5.2 Condicionar la entrega de información sobre una vulnerabilidad, o la abstención de divulgarla, al pago de dinero u otra ventaja, excluye al investigador de la autorización de la cláusula 4 y puede constituir el delito de extorsión tipificado en el artículo 185 del Código Orgánico Integral Penal. FIVES LEGAL pondrá esas conductas en conocimiento de las autoridades.
6. Nuestros compromisos
- Acusar recibo del reporte dentro de cinco (5) días hábiles.
- Evaluar el reporte e informar al investigador si será atendido.
- Mantener al investigador informado de forma razonable sobre la corrección.
- Tratar los datos personales del investigador conforme a la Política de Privacidad.
7. Modificaciones
FIVES LEGAL podrá modificar esta Política en cualquier momento. La versión aplicable a un reporte es la vigente al momento de la investigación.