De acuerdo con el Reglamento Europeo n.º 2024/2847 (Ley de Ciberresiliencia), Praxedo proporciona esta política de Divulgación Coordinada de Vulnerabilidades (“esta política CVD”).
En Praxedo, consideramos que la seguridad de nuestros sistemas y los datos de nuestros clientes es una prioridad absoluta. Sin embargo, a pesar de nuestros rigurosos controles de seguridad y esfuerzos continuos, aún pueden producirse vulnerabilidades.
Si descubre una vulnerabilidad de seguridad en uno de nuestros activos dentro del alcance, le animamos a que nos informe lo antes posible para que podamos tomar medidas inmediatas para abordarla.
Alcance de esta política CVD
- Dentro del alcance (In-Scope): *.praxedo.com, API principales, aplicaciones móviles de Praxedo.
- Fuera del alcance (Out-of-Scope): servicios de terceros, entornos de preproducción o prueba, y cualquier otro dominio, servicio o activo que no figure explícitamente en la sección “Dentro del alcance”.
Siga las siguientes instrucciones
- Informe sus hallazgos: envíe su descubrimiento por correo electrónico a disclosure@praxedo.net. Asegúrese de enviar su informe en inglés o francés.
- Actúe de manera responsable: no explote la vulnerabilidad o el problema que haya descubierto (por ejemplo, descargando más datos de los estrictamente necesarios para demostrar la prueba de concepto, o modificando o eliminando datos).
- Mantenga la confidencialidad: no divulgue el problema públicamente ni a ningún tercero hasta que nuestro equipo lo haya resuelto.
- Evite pruebas destructivas: no realice ataques de seguridad física, ingeniería social, ataques de denegación de servicio distribuido (DDoS), envío de spam o ataques a aplicaciones de terceros.
- Proporcione información clara: incluya detalles suficientes para permitirnos reproducir el problema (por ejemplo, la URL o la dirección IP de destino, los pasos de la prueba de concepto, los componentes afectados). Los problemas complejos pueden requerir una explicación técnica detallada.
Lo que prometemos
- Respuesta oportuna: acusaremos recibo de su informe dentro de las 48 horas hábiles y haremos esfuerzos razonables para proporcionar una evaluación inicial y un cronograma estimado para la resolución dentro de los 8 días hábiles.
- Protección legal (Safe Harbor): si sigue estrictamente estas pautas de buena fe, Praxedo no iniciará acciones legales contra usted en relación con sus actividades de investigación de seguridad realizadas bajo esta política. Debe comunicarse con nosotros para obtener aclaraciones antes de participar en conductas que crea que pueden ser incompatibles o no estar contempladas por esta política CVD. Tenga en cuenta que no podemos autorizar la investigación de seguridad en la infraestructura de terceros, y que un tercero no está sujeto a esta declaración de puerto seguro.
- Confidencialidad: trataremos su informe de forma confidencial y no compartiremos sus datos personales con terceros sin su permiso explícito.
- Actualizaciones: siempre que sea posible, lo mantendremos informado de nuestro progreso hacia la resolución de la vulnerabilidad.
- Reconocimiento público: como muestra de nuestra gratitud, publicaremos su nombre como descubridor del problema, siempre que haya dado su consentimiento en su correo electrónico inicial, si divulgamos el problema públicamente y en el momento en que lo hagamos.
Nos esforzamos por resolver todos los problemas reportados lo más rápido posible y agradecemos los esfuerzos de colaboración hacia una divulgación pública coordinada.