Seguridad y divulgación responsable

En pocas palabras

• El servicio es un sitio estático: sin servidor de aplicación propio, sin base de datos y sin cuentas que proteger. No guarda rutinas, fichas ni Excel.
• Aplicamos medidas técnicas para proteger las páginas. Esta página las describe. No equivale a una certificación ni a una auditoría externa.
• La pulsera tiene límites de seguridad que usted debe conocer.
• Si encuentra una vulnerabilidad, escríbanos. Esta página explica cómo.

1. Cómo se protege el servicio

Páginas web

• Este sitio, el lector y el editor no cargan recursos de otros sitios.
• Cada área tiene su propia política de seguridad de contenido estricta. El sitio informativo no usa JavaScript.
• Enviamos las cabeceras de seguridad habituales: X-Content-Type-Options, Referrer-Policy: no-referrer, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy y Permissions-Policy. Con HTTPS, también Strict-Transport-Security.
• El lector procesa la ficha en su teléfono. La ficha viaja en la parte del enlace posterior al signo #, que el navegador no envía al servidor.

Datos y registros

• No guardamos rutinas, fichas, Excel ni direcciones IP.
• No hay cuentas, contraseñas ni sesiones que proteger: el sitio no las tiene.
• Los registros técnicos del servicio de alojamiento, si los hay, no incluyen contenido de las fichas ni de sus Excel: esta aplicación nunca los recibe.

2. Límites de la pulsera

Conozca estos límites antes de decidir qué guardar y cómo usarla:

• Se puede leer y copiar. Cualquier teléfono con NFC puede leer el enlace con la rutina. Por eso la ficha no debe llevar nombres ni datos personales.
• La clave de 32 bits es un freno. Evita cambios casuales, pero con tiempo y herramientas puede adivinarse.
• No se puede anular a distancia. Si pierde una pulsera, hay que grabar otra.
• Nadie salvo quien grabó la pulsera sabe su clave. El sitio no la guarda; el número de clave anotado solo vive en el navegador de quien lo escribió.
• El editor no sabe si la clave fue puesta. Depende de que quien graba lo haga y lo compruebe.
• La pulsera no demuestra quién es usted. Es solo un medio para abrir una rutina.

Más detalles en las condiciones de uso.

3. Consejos para quien arma y graba rutinas

• Use una clave que recuerde, y no la comparta por chat ni la deje visible.
• No grabe datos personales en la ficha.
• Mantenga sus propios respaldos de sus Excel.
• Cierre la sesión del navegador en equipos compartidos y limpie los datos del sitio si no son suyos.

4. Cómo informar una vulnerabilidad

Agradecemos que nos avise si encuentra un fallo de seguridad.

Envíe un correo a pulsarea@protonmail.com con:

1. Una descripción del problema y dónde lo encontró.
2. Los pasos para reproducirlo.
3. El efecto que podría tener.
4. Su nombre o alias, si desea que lo reconozcamos. Es opcional.

Los datos de contacto también están en el archivo /.well-known/security.txt, según el estándar RFC 9116.

Lo que le pedimos

• Informe el problema antes de hacerlo público y denos un tiempo razonable para corregirlo.
• No acceda a datos de otras personas más allá de lo mínimo necesario para demostrar el problema.
• No modifique ni borre datos, no interrumpa el servicio y no haga pruebas de denegación de servicio.
• No use ingeniería social ni ataques físicos.
• No pruebe claves de pulseras que no sean suyas.

Lo que puede esperar

• Acusaremos recibo y le responderemos en un plazo de cuatro días hábiles.
• Le contaremos cómo avanza la corrección.
• Si lo desea, lo mencionaremos al publicar la corrección.
• Compromiso de no emprender acciones contra quien actúe de buena fe y siga estas reglas: [POR COMPLETAR: confirmar el texto con la persona abogada].

No ofrecemos recompensas económicas.

5. Incidentes de seguridad

Si ocurre un incidente que afecte datos personales, avisaremos a las personas afectadas y a la autoridad de protección de datos en un plazo de cinco días hábiles. El aviso dirá qué pasó, qué datos se vieron comprometidos, qué hicimos de inmediato y dónde obtener más información.

6. Vigencia y contacto

Esta página rige desde [POR COMPLETAR: fecha de vigencia]. Versión: [POR COMPLETAR: versión de las políticas].

Contacto de seguridad: pulsarea@protonmail.com.