Política de divulgación de vulnerabilidades de LemFi

Introducción

En LemFi, nos dedicamos a mejorar nuestra seguridad. Esta Política de Divulgación de Vulnerabilidades es publicada por Pomelo Technology US Inc. (con domicilio social en 251 Little Falls Drive, Wilmington, DE 19808, EE. UU.) y se aplica a dicha empresa y a su grupo de compañías y subsidiarias (en adelante, «LemFi», «nosotros» o «nuestro»). Agradecemos los comentarios de investigadores de seguridad y del público en general. Si cree haber descubierto una vulnerabilidad, un problema de privacidad, datos expuestos o cualquier otro problema de seguridad relacionado con nuestros activos, le rogamos que se ponga en contacto con nosotros siguiendo la política que se detalla a continuación.

Sistemas incluidos en el alcance

Esta política se aplica a los activos digitales que LemFi posee, opera o mantiene y que se enumeran a continuación.

Activos incluidos en el alcance:

Fuera de alcance

Las vulnerabilidades descubiertas o sospechadas en sistemas que no estén incluidos en el alcance del proyecto deben comunicarse al proveedor correspondiente o a la autoridad competente.

Los siguientes elementos quedan fuera del alcance de esta política y no deben ser evaluados:

cualquier sistema, activo, infraestructura o servicio que no esté expresamente enumerado en Sistemas incluidos en el ámbito de aplicación anterior;
infraestructura, software o servicios propiedad de terceros, operados o alojados por ellos (incluidos nuestros proveedores de pago, KYC, banca, nube y otros), incluso cuando se utilicen para prestar nuestros servicios;
entornos de pruebas, preproducción, ensayo, demostración y entorno de pruebas;
Sistemas informáticos corporativos de LemFi, redes internas, cuentas de empleados y sistemas de correo electrónico o mensajería;
Páginas de destino de marketing, cuentas en redes sociales y canales de atención al cliente de LemFi;
seguridad física de cualquier instalación o personal de LemFi.

Las siguientes clases de problemas quedan fuera del alcance y no se aceptarán como informes válidos:

Ingeniería social, phishing o cualquier ataque con pretexto contra el personal, contratistas, clientes o socios de LemFi;
pruebas de denegación de servicio o volumétricas, incluidas las pruebas de estrés, carga y agotamiento de recursos;
hallazgos que requieren un dispositivo rooteado, con jailbreak o comprometido de alguna otra manera, o un navegador o sistema operativo desactualizado;
Falta de encabezados de seguridad, cifrados débiles, problemas de configuración de certificados y otros hallazgos similares relacionados con las mejores prácticas, sin un impacto demostrado en la seguridad;
XSS autodestructivo, secuestro de clics en páginas sin acciones sensibles y otros problemas teóricos sin una prueba de concepto funcional;
vulnerabilidades en software o bibliotecas de terceros a menos que pueda demostrar un impacto explotable en un activo LemFi dentro del alcance.

Nuestros compromisos

Al trabajar con nosotros en cumplimiento de esta política, puede esperar que:

Responderemos a su informe con prontitud y trabajaremos con usted para comprender y validar su informe;
Le mantendremos informado sobre el progreso de una vulnerabilidad a medida que se vaya procesando;
Trabajar para remediar las vulnerabilidades descubiertas de manera oportuna, dentro de nuestras limitaciones operativas; y
Extienda la cláusula de exención de responsabilidad a su investigación sobre vulnerabilidades relacionada con esta política.

Esta política cuenta con el respaldo de nuestro socio, Inspectiv, quien se encargará de priorizar las vulnerabilidades válidas. Para los informes que se consideren vulnerabilidades reales, Inspectiv facilitará una recompensa económica al investigador en nuestro nombre, cuyo importe se incluirá en su plataforma.

Nuestras expectativas

Al participar de buena fe en nuestro programa de divulgación de vulnerabilidades, le pedimos que:

Cumpla las reglas, incluyendo esta política y cualquier otro acuerdo pertinente. En caso de discrepancia entre esta política y nuestros Términos de Servicio o Política de Uso Aceptable con respecto a la investigación de seguridad autorizada realizada de acuerdo con esta política, prevalecerá esta política.
Informe de inmediato cualquier vulnerabilidad que haya descubierto;
Evite violar la privacidad de otros, interrumpir nuestros sistemas, destruir datos y/o perjudicar la experiencia del usuario;
Evite las pruebas volumétricas o las pruebas que puedan resultar en una denegación de servicio;
Utilice únicamente los canales oficiales (que se detallan a continuación) para hablar con nosotros sobre información relativa a vulnerabilidades;
Concédanos un plazo razonable (al menos 90 días, o un período más largo que podamos solicitar razonablemente por escrito si la solución requiere más tiempo) a partir del informe inicial para resolver el problema antes de divulgarlo públicamente, y mantenga el informe y cualquier información obtenida durante su investigación estrictamente confidenciales hasta que haya transcurrido dicho plazo y se haya solucionado la vulnerabilidad;
Realizar pruebas únicamente en los sistemas que entran dentro del alcance del estudio, y respetar los sistemas y actividades que quedan fuera de dicho alcance;
No realice pruebas que infrinjan las leyes o regulaciones aplicables, ni que interrumpan o comprometan datos que no sean de su propiedad;
Si una vulnerabilidad proporciona acceso no deseado a datos: limite la cantidad de datos a los que accede al mínimo necesario para demostrar eficazmente una prueba de concepto; y detenga las pruebas y envíe un informe inmediatamente si encuentra datos de usuario durante las pruebas, como información de identificación personal (PII), datos personales (según se definen en el Reino Unido y la UE/EEE, Reglamento General de Protección de Datos), datos de tarjetas de crédito o información de propiedad. No debe retener, copiar, almacenar, transferir, divulgar, vender ni utilizar de ninguna otra manera dichos datos para ningún propósito, y debe eliminarlos o destruirlos de forma segura (y cualquier copia) en la fecha que ocurra primero entre (a) nuestra solicitud por escrito y (b) la confirmación de que la vulnerabilidad ha sido remediada;
Solo debes interactuar con cuentas de prueba de tu propiedad o con el permiso explícito del titular de la cuenta;
No participes en la extorsión; y
Usted no es, ni actúa en nombre de ninguna persona que, (i) esté ubicada, resida habitualmente u organizada en cualquier país o territorio que sea objeto de sanciones integrales administradas por el Reino Unido, la UE, los EE. UU. (OFAC) o la ONU, o (ii) esté en cualquier lista de sanciones o de partes restringidas mantenida por cualquiera de esas autoridades.

Recompensas

Las presentaciones de VDP no son elegibles para el pago de recompensas de Inspectiv, visite https://app.inspectiv.com/ para ver nuestros programas actuales de recompensas por errores.

Canales oficiales

Por favor, informe aquí sobre problemas de seguridad: https://client.inspectiv.com/vdp/lemfi/submit-report

Por favor, facilite toda la información pertinente. Cuantos más detalles nos proporcione, más fácil nos resultará diagnosticar y solucionar el problema.

Si tiene algún problema al enviar su vulnerabilidad a nuestra plataforma, póngase en contacto con programs@inspectiv.com y procesaremos su solicitud por correo electrónico. No se comunique directamente con nuestros clientes, ya que ellos le remitirán a nosotros.

Puerto seguro

Cuando usted realiza una investigación de vulnerabilidades y se ha adherido a esta política, consideramos que dicha investigación de vulnerabilidades es:

Se autoriza la investigación para los fines de las leyes antipiratería aplicables, y no iniciaremos ni apoyaremos acciones legales en su contra por violaciones accidentales y de buena fe de esta política;
Se autoriza la investigación a efectos de las leyes pertinentes contra la elusión de controles, y no presentaremos ninguna demanda contra usted por eludir dichos controles tecnológicos;
Quedan exentos de las restricciones de nuestros Términos de Servicio (TOS) y/o Política de Uso Aceptable (AUP) que pudieran interferir con la realización de investigaciones de seguridad, y renunciamos a esas restricciones de forma limitada;
Legal, beneficioso para la seguridad general de Internet y realizado de buena fe.

Como siempre, se espera que usted cumpla con todas las leyes aplicables. Si un tercero inicia acciones legales en su contra y usted ha cumplido con esta política, tomaremos las medidas necesarias para dejar constancia de que sus acciones se realizaron de conformidad con la misma. Del mismo modo, si usted no ha cumplido con esta política, también se lo haremos saber.

Si en algún momento tiene dudas o no está seguro de si su investigación de seguridad se ajusta a esta política, envíe un informe a través de uno de nuestros canales oficiales antes de continuar.

Tenga en cuenta que la cláusula de exención de responsabilidad se aplica únicamente a las reclamaciones legales que estén bajo el control de la organización que participa en esta política, y que esta no vincula a terceros independientes. En particular, esta política no impide, ni puede impedir, el enjuiciamiento por parte de ninguna autoridad judicial en virtud de ninguna ley pública (incluida, en el Reino Unido, la Ley de Abuso Informático de 1990); nuestro compromiso es que LemFi no iniciará ni apoyará dichos procedimientos en su contra si usted ha cumplido con esta política.

Reserva de derechos. En caso de que una conducta infrinja esta política y, además, la legislación aplicable, nos reservamos el derecho de emprender o apoyar acciones legales y de notificar a las autoridades competentes. Nada de lo dispuesto en esta política limita los derechos o recursos legales que nos asistan.

Ley aplicable. Esta póliza y cualquier obligación extracontractual que surja de ella o en relación con ella se rigen por las leyes de Inglaterra y Gales, y los tribunales de Inglaterra y Gales tienen jurisdicción exclusiva para resolver cualquier disputa que surja de esta póliza o en relación con ella.