Política de divulgación de vulnerabilidades

BORRADOR v1.0 — preparado para revisión por asesoría legal calificada antes de publicarse. Reemplaza los marcadores entre corchetes.

Traducción de conveniencia: la versión en inglés prevalece en caso de conflicto.

Versión: 1.0 Fecha de vigencia: [EFFECTIVE DATE] Publicada en: flowagenci.com/legal/security

[FLOWAGENCI LLC LEGAL NAME] ("FlowAgenci", "nosotros") agradece los reportes de investigadores de seguridad. Esta política explica cómo reportar una vulnerabilidad en Flow y qué puedes esperar de nosotros.

1. Cómo reportar

Escribe a security@flowagenci.com con:

• una descripción del problema y su impacto
• los pasos para reproducirlo (URL, solicitudes, cuentas involucradas)
• tu nombre o alias, si quieres que te demos crédito

Nuestros datos de contacto también están publicados en /.well-known/security.txt en cada host de Flow.

2. Alcance

Dentro del alcance:

• la aplicación Flow (app.flowagenci.com)
• los Portales de Clientes (<slug>.flowagenci.com)
• los formularios públicos (/f/*)
• el sitio flowagenci.com

Fuera del alcance:

• los dominios propios de los Clientes y el contenido que alojan
• pruebas de denegación de servicio o de volumen
• ingeniería social y ataques físicos
• reportes de escáneres automáticos sin impacto demostrado
• cabeceras de seguridad ausentes sin un exploit funcional

3. Reglas

• Prueba solo con cuentas y organizaciones que sean tuyas. Nunca accedas, cambies ni borres datos de otro Cliente. Si llegas a ellos por accidente, detente y cuéntanos qué viste.
• No degrades el Servicio para los demás.
• Danos un plazo razonable para corregir el problema antes de divulgarlo. Sugerimos 90 días.

4. Qué puedes esperar

• Confirmamos la recepción de tu reporte en un plazo de 3 días hábiles.
• Te enviamos una evaluación inicial en un plazo de 10 días hábiles.
• Te avisamos cuando el problema esté corregido y, si quieres, te damos crédito.

5. Puerto seguro

Si actúas de buena fe y sigues esta política, no emprenderemos acciones legales en tu contra por tu investigación. Tampoco pediremos a ninguna autoridad que lo haga.