Política de Divulgación de Vulnerabilidades
1. Introducción
BLUE ZEBRA LABS, S.L. · NIF B88890629
C/ Saragossa, 95, ent. pta. 3 · 08006 Barcelona (España)
Contacto: legal@bluezebralabs.com
La seguridad de los datos de nuestros clientes y de sus propios clientes es una prioridad. Esta política da instrucciones a los investigadores de seguridad para realizar actividades de descubrimiento de vulnerabilidades de buena fe, y explica cómo reportarnos las vulnerabilidades encontradas: qué sistemas cubre, qué tipos de prueba están permitidos y cómo enviarnos los informes.
2. Directrices
Te pedimos que:
- Nos avises lo antes posible tras descubrir un problema de seguridad real o potencial.
- Nos concedas un plazo razonable para resolver el problema antes de hacerlo público.
- Hagas todo lo posible por evitar violaciones de privacidad, degradación de la experiencia de usuario, interrupciones en producción y destrucción o manipulación de datos.
- Uses exploits solo en la medida necesaria para confirmar la presencia de una vulnerabilidad. No los uses para comprometer o extraer datos, establecer acceso persistente ni pivotar a otros sistemas.
- Si confirmas una vulnerabilidad o encuentras datos sensibles (personales, financieros o secretos comerciales de cualquier parte), detengas la prueba, nos lo notifiques de inmediato y trates esos datos con confidencialidad estricta.
- No envíes un volumen alto de informes de baja calidad.
3. Autorización
La investigación de seguridad realizada de conformidad con esta política se considera autorizada. Trabajaremos contigo para entender y resolver el problema con rapidez, y Blue Zebra Labs, S.L. no emprenderá ni recomendará acciones legales en relación con investigaciones que respeten esta política.
4. Alcance
Esta política aplica a los siguientes sistemas:
- www.bluezebralabs.com (sitio público)
- portal.bluezebralabs.com (portal de clientes)
- api.bluezebralabs.com (API de la plataforma)
- La aplicación móvil companion de BlueZebra
- El widget de chat web embebible servido por la plataforma
5. Fuera de alcance
Cualquier sistema no listado explícitamente arriba queda fuera de alcance, incluidos los sitios web de nuestros clientes que embeben el widget. Las vulnerabilidades en soluciones de terceros con las que la plataforma se integra deben reportarse directamente al proveedor correspondiente conforme a su propia política de divulgación. Si dudas de si un sistema está en alcance, escríbenos antes de empezar a security@bluezebralabs.com.
6. Tipos de prueba no autorizados
- Pruebas de denegación de servicio (DoS o DDoS).
- Pruebas físicas (acceso a oficinas, puertas, tailgating), ingeniería social (phishing, vishing) o cualquier otra prueba no técnica.
- Pruebas contra datos o negocios reales de nuestros clientes.
7. Cómo reportar una vulnerabilidad
Envía un email a security@bluezebralabs.com. Los informes pueden enviarse de forma anónima. Nuestro fichero security.txt (RFC 9116) publica este mismo canal.
8. Información recomendada
Para poder procesar y reaccionar al informe, recomendamos incluir:
- Descripción de la vulnerabilidad
- Dónde se ha descubierto
- Impacto potencial
- Pasos para reproducirla (con scripts y capturas si es posible)
Si es posible, envía el informe en inglés o español.
9. Nuestro compromiso
Si nos facilitas datos de contacto, nos comprometemos a comunicarnos contigo de forma transparente y puntual: acusaremos recibo de tu informe en un máximo de 3 días laborables y te mantendremos informado, en la medida de nuestras capacidades, de la confirmación y resolución de la vulnerabilidad. Agradecemos el diálogo y estamos abiertos a discutir cualquier duda.