Divulgación de vulnerabilidades

En Vacation Tracker Inc. nos importa mucho tu privacidad y nos enorgullece cuidar bien de cualquier dato que decidas compartir con nosotros. Si tienes alguna pregunta sobre cómo usamos o tratamos los datos de los usuarios, pregúntanos y te responderemos enseguida.

Introducción

Vacation Tracker agradece los comentarios de los investigadores de seguridad y del público en general que nos ayuden a mejorar nuestra seguridad. Si crees haber descubierto una vulnerabilidad, un problema de privacidad, datos expuestos u otros problemas de seguridad en cualquiera de nuestros activos, queremos saberlo. Esta política describe los pasos para informarnos de vulnerabilidades, qué esperamos de ti y qué puedes esperar de nosotros.

Sistemas incluidos

Esta política se aplica a los sistemas de la plataforma Vacation Tracker de acceso público y a los activos digitales que sean propiedad de Vacation Tracker Technologies Inc. o que esta explote o mantenga. Los sistemas de Vacation Tracker incluidos se encuentran en:

• https://app.vacationtracker.io/– plataforma Vacation Tracker
• https://vacationtracker.io/ – sitio web de Vacation Tracker

Fuera del ámbito

• Cualquier activo u otro equipo que no sea propiedad de las partes que participan en esta política.

Las vulnerabilidades descubiertas o sospechadas en sistemas fuera del ámbito deben comunicarse al proveedor correspondiente o a la autoridad competente.

Directrices para las pruebas

Vacation Tracker solo considerará válidos tus informes si cumples las siguientes condiciones:

1. Tus actividades se limitan exclusivamente a:
   1. Realizar pruebas para detectar una vulnerabilidad o identificar un indicador relacionado con una vulnerabilidad
   2. Compartir la información sobre las vulnerabilidades identificadas o los indicadores relacionados con una vulnerabilidad únicamente con Vacation Tracker, a través de los canales de comunicación definidos (consulta la sección «Cómo informar» de este documento)
2. No causarás ningún daño ni explotarás ninguna vulnerabilidad más allá de las pruebas mínimas necesarias para demostrar que existe una vulnerabilidad o para identificar un indicador relacionado con una vulnerabilidad.
3. Evitarás acceder intencionadamente al contenido de cualquier dato almacenado en los sistemas de Vacation Tracker – salvo en la medida en que la información esté directamente relacionada con una vulnerabilidad y el acceso sea necesario para demostrar que la vulnerabilidad existe – siempre que accedas a tus propios datos en nuestra plataforma.
4. No extraerás ningún dato bajo ninguna circunstancia.
5. No comprometerás intencionadamente la privacidad del personal de Vacation Tracker ni de terceros.
6. No comprometerás intencionadamente la propiedad intelectual ni otros intereses comerciales o financieros del personal o de las entidades de Vacation Tracker, ni de terceros.
7. No divulgarás públicamente ningún detalle de la vulnerabilidad, del indicador de vulnerabilidad ni del contenido de la información que una vulnerabilidad haya dejado accesible, salvo que recibas una autorización expresa y por escrito de Vacation Tracker.
8. Si durante tu investigación accedes involuntariamente a información a la que el público no está autorizado a acceder, borrarás de forma efectiva y permanente toda la información identificada que tengas en tu poder, siguiendo las indicaciones de Vacation Tracker, y comunicarás a Vacation Tracker que lo has hecho.
9. No realizarás pruebas de denegación de servicio.

10. No realizarás pruebas físicas (por ejemplo, acceso a oficinas, puertas abiertas, tailgating) ni ingeniería social, incluidas campañas de phishing, dirigidas al personal o a los clientes de Vacation Tracker.
11. Si en algún momento no tienes claro si debes continuar con las pruebas, ponte en contacto con nuestro equipo a través de los canales adecuados descritos en la sección «Cómo informar» de este documento.

Asegúrate de realizar las pruebas conforme a las buenas prácticas descritas:

• Asegúrate de que los escáneres tengan un ámbito acotado y limitado únicamente a los sistemas incluidos. Los escaneos agresivos, excesivamente amplios o que puedan poner en peligro el funcionamiento de la plataforma Vacation Tracker sin permiso se considerarán no válidos.
• No realices ninguna acción que pueda afectar negativamente al funcionamiento de la plataforma Vacation Tracker o a sus usuarios (por ejemplo, spam, fuerza bruta, denegación de servicio…)
• No accedas ni intentes acceder a datos o información que no te pertenezcan
• No destruyas ni corrompas datos o información que no te pertenezcan
• No lleves a cabo ningún tipo de ataque físico o electrónico contra el personal, los bienes o los datos de Vacation Tracker
• No envíes mensajes masivos no solicitados (spam) ni mensajes no autorizados.
• No publiques, transmitas, subas, enlaces ni envíes a sabiendas ningún tipo de malware.
• No ataques a los clientes, socios o proveedores de Vacation Tracker

Nuestro compromiso

Cuando colabores con nosotros conforme a esta política, puedes esperar que:

• Respondamos con rapidez a tu informe y trabajemos contigo para entenderlo y validarlo.
• Nos esforcemos por mantenerte informado del progreso de la vulnerabilidad mientras se tramita.
• Trabajemos para corregir las vulnerabilidades descubiertas en un plazo oportuno, dentro de nuestras limitaciones operativas.
• Te ofrezcamos la protección de puerto seguro (Safe Harbor) para tu investigación de vulnerabilidades relacionada con esta política.

Lo que esperamos

Al participar de buena fe en nuestro programa de divulgación de vulnerabilidades, te pedimos que:

• Respetes las reglas, incluida esta política y cualquier otro acuerdo pertinente. Si existe alguna incoherencia entre esta política y cualquier otra condición aplicable, prevalecerán los términos de esta política.
• Informes con rapidez de cualquier vulnerabilidad que hayas descubierto.
• Evites vulnerar la privacidad de otras personas, interrumpir nuestros sistemas, destruir datos y/o perjudicar la experiencia de los usuarios.
• Utilices únicamente los canales oficiales para tratar con nosotros la información sobre vulnerabilidades.
• Nos des un plazo razonable (al menos 180 días desde el informe inicial) para resolver el problema antes de que lo divulguemos públicamente.
• Si una vulnerabilidad da acceso no intencionado a datos: limites la cantidad de datos a los que accedes al mínimo necesario para demostrar eficazmente una prueba de concepto (Proof of Concept), y detengas las pruebas y envíes un informe de inmediato si encuentras datos de usuarios durante las pruebas, como información de identificación personal (PII), información sanitaria personal (PHI), datos de tarjetas de crédito o información de propiedad exclusiva.
• Interactúes únicamente con cuentas de prueba que sean tuyas o con el permiso explícito del titular de la cuenta.
• No recurras a la extorsión.

Cómo informar

Para más detalles, consulta nuestro archivo security.txt.

Informa de los problemas de seguridad a security@vacationtracker.io e incluye toda la información pertinente. Cuantos más detalles proporciones, más fácil nos resultará clasificar y solucionar el problema.

Declaración de puerto seguro (Safe Harbor)

Cuando se realice una investigación de vulnerabilidades conforme a esta política, consideramos que dicha investigación es:

• Autorizada con respecto a cualquier ley antipiratería aplicable, y no iniciaremos ni apoyaremos acciones legales contra ti por pruebas realizadas de buena fe y de acuerdo con esta política.
• Autorizada con respecto a cualquier ley contra la elusión que resulte pertinente, y no presentaremos ninguna reclamación contra ti por eludir controles tecnológicos.
• Exenta de las restricciones de nuestros Términos de servicio (TOS) y/o de nuestra Política de uso aceptable (AUP) que impidan llevar a cabo investigaciones de seguridad, y renunciamos a dichas restricciones de forma limitada.
• Lícita, útil para la seguridad general de Internet y realizada de buena fe.

Como siempre, se espera que cumplas todas las leyes aplicables. Si un tercero inicia acciones legales contra ti y has cumplido esta política, tomaremos medidas para dar a conocer que actuaste de conformidad con esta política.

Si en algún momento tienes dudas o no estás seguro de si tu investigación de seguridad se ajusta a esta política, envía un informe a través de nuestros canales oficiales antes de continuar.

Ten en cuenta que el puerto seguro (Safe Harbor) solo se aplica a las reclamaciones legales que estén bajo el control de la organización que participa en esta política, y que la política no vincula a terceros independientes.