Política de Divulgación de Vulnerabilidades
En Atelier Busco SpA, valoramos la seguridad de nuestras plataformas y la protección de los datos de nuestros clientes. Reconocemos la valiosa labor de la comunidad de investigación en seguridad y fomentamos la divulgación coordinada de vulnerabilidades.
Si descubres una vulnerabilidad de seguridad en nuestros sistemas o aplicaciones, te agradecemos que nos lo reportes de manera responsable.
1 Cómo reportar una vulnerabilidad
Canal de Comunicación Oficial
Correo electrónico: Envía los detalles técnicos de tu hallazgo directamente al correo:
Información recomendada en tu reporte:
Para acelerar la evaluación y resolución del fallo, por favor incluye:
- Descripción clara: Explicación conceptual del problema identificado y su vector de ataque.
- Pasos de reproducción: Instrucciones paso a paso, script de prueba de concepto (PoC no destructivo) o capturas de pantalla que permitan verificar el comportamiento anómalo.
- Impacto potencial: Estimación objetiva del riesgo sobre la confidencialidad, integridad o disponibilidad de los sistemas o datos.
- Componente afectado: Dominio, endpoint API, servicio cloud o aplicación afectada.
Cifrado PGP & Estándar RFC 9116
Si deseas cifrar tu reporte con información técnica confidencial, puedes utilizar la clave pública PGP oficial indicada en nuestro archivo security.txt o descargarla directamente desde pgp-key.txt.
Fingerprint: 6667 7D4A 561A F84C C135 A8CA E7C7 4D88 99D0 8219
2 Nuestro compromiso
Acuse de recibo
Acusaremos recibo de tu reporte en un plazo máximo de 48 horas hábiles tras su recepción formal por nuestro equipo técnico.
Gestión y resolución
Investigaremos el reporte de manera oportuna, asignaremos la severidad correspondiente y trabajaremos activamente en la mitigación o parche.
Mantendremos comunicación periódica contigo durante el proceso de validación para informarte sobre los progresos y confirmar el despliegue del fix en producción.
3 Coordinación & Puerto Seguro (Safe Harbor)
No realizaremos acciones legales ni suspenderemos cuentas contra investigadores de seguridad que actúen de buena fe, sigan las pautas de este canal y eviten la divulgación pública del fallo antes de que haya sido debidamente solucionado.
Consideramos tu investigación como autorizada siempre que se desarrolle en estricto cumplimiento de los siguientes principios de buena fe:
- Protección de datos: No acceder, modificar, transferir, exfiltrar ni destruir datos de clientes o información confidencial. Si detectas acceso a datos sensibles, detén la prueba de inmediato y reporta el hallazgo.
- Continuidad operacional: Evitar cualquier técnica que degrade el rendimiento, disponibilidad o estabilidad de nuestros servicios (quedan estrictamente prohibidos los ataques DoS/DDoS, saturación de recursos y fuerza bruta masiva).
- Sin ingeniería social ni intrusión física: No emplear ataques de phishing, ingeniería social, malware o acceso físico contra colaboradores, contratistas o instalaciones de Atelier Busco SpA.
- Divulgación coordinada: Conceder a nuestro equipo de ingeniería un tiempo razonable para subsanar la vulnerabilidad antes de compartir públicamente cualquier detalle técnico.
Agradecemos tu colaboración
Agradecemos tu colaboración para mantener un ecosistema digital seguro y proteger la infraestructura transaccional de nuestros clientes y usuarios.