Seguridad y notificación de vulnerabilidades

1. Notificación de problemas de seguridad

Nos tomamos muy en serio la seguridad y la privacidad de nuestros productos de software y de los datos de nuestros usuarios. Si has descubierto una posible vulnerabilidad de seguridad en cualquiera de nuestras aplicaciones (incluida Quote Community / One Phrase a Day) o en los servicios backend asociados, infórmanos de inmediato a:

Correo electrónico: security@pablocoding.dev
Alternativa: support@pablocoding.dev

Por favor, incluye:

• Una descripción de la vulnerabilidad y su impacto potencial.
• Nombre específico del producto, versión y pantalla o endpoint afectado.
• Instrucciones reproducibles paso a paso o prueba de concepto.
• Si consideras que el problema está siendo explotado activamente.

2. Nuestros compromisos de respuesta

• Acuse de recibo: En un plazo de 48 horas desde la recepción.
• Triaje y evaluación: En un plazo de 5 días hábiles.
• Subsanación: Las vulnerabilidades de seguridad verificadas se priorizan para su remediación inmediata y su publicación a través de las tiendas de aplicaciones y actualizaciones de backend.
• Divulgación coordinada: Colaboraremos contigo en los plazos de divulgación y acreditaremos tu contribución una vez distribuida la corrección.

3. Periodo de soporte de seguridad (Ley de Ciberresiliencia de la UE)

De conformidad con el Reglamento (UE) 2024/2847 (Ley de Ciberresiliencia o Cyber Resilience Act):

• Garantizamos actualizaciones de seguridad y gestión de vulnerabilidades gratuitas para cada versión principal de nuestras aplicaciones durante un periodo mínimo de 24 meses desde su lanzamiento (hasta al menos diciembre de 2028 para Quote Community v1.x).
• Las actualizaciones de seguridad se distribuyen automáticamente a través de Google Play Store y Apple App Store.

4. Puerto seguro (Safe Harbor) para investigadores éticos

Consideramos que la investigación de seguridad de buena fe es un servicio esencial. No emprenderemos acciones legales contra aquellos investigadores que:

• Actúen de buena fe para evitar violaciones de privacidad, interrupciones o destrucción de datos.
• No accedan, alteren ni retengan datos personales de otros usuarios.
• Nos concedan un tiempo razonable para solucionar las vulnerabilidades antes de divulgar detalles públicamente.