Seguridad y divulgación responsable

1. Cómo reportar una vulnerabilidad

Si encontraste algo que puede afectar la seguridad de Pymaia o de los datos de nuestros clientes, escribinos a info@pymaia.com con el asunto «Seguridad». Incluí:

• Qué encontraste y dónde (URL, endpoint o pantalla).
• Los pasos para reproducirlo, con tus propias cuentas de prueba.
• El impacto que creés que tiene.
• Cómo podemos contactarte si necesitamos más datos.

2. Qué nos comprometemos a hacer

• Confirmar que recibimos tu reporte en un plazo de 3 días hábiles.
• Contarte si lo pudimos reproducir y qué severidad le asignamos.
• Avisarte cuando esté corregido.
• Reconocerte públicamente si lo deseás, una vez publicado el arreglo.

3. Qué te pedimos

• Usar sólo cuentas y datos propios. No accedas, modifiques ni borres datos de otros clientes.
• No degradar el servicio: nada de pruebas de denegación de servicio ni de carga.
• No usar ingeniería social, phishing ni accesos físicos.
• Darnos un plazo razonable (90 días) para corregir antes de publicar los detalles.

4. Puerto seguro

Si investigás de buena fe y respetás estas reglas, no vamos a iniciar acciones legales en tu contra por esa investigación, y lo vamos a considerar una actividad autorizada.

5. Alcance

Incluido: pymaia.com, app.pymaia.com, api.pymaia.com y el conector MCP de Pymaia.

Fuera de alcance: los servicios de terceros que usamos (Supabase, Vercel, Meta, Google y otros), que tienen sus propios programas, y los reportes sin impacto demostrable (por ejemplo, encabezados informativos o falta de rate limit sin consecuencia).

El registro dinámico de clientes OAuth del conector MCP (/oauth/register) es abierto a propósito: así se conectan asistentes como Claude y ChatGPT. Ninguna conexión se concreta sin el consentimiento explícito de una persona con cuenta.

6. Recompensas

Hoy no tenemos un programa de recompensas monetarias. Agradecemos cada reporte y lo reconocemos públicamente si así lo preferís.

7. Cómo cuidamos tus datos

• Cada cliente ve sólo sus datos: el aislamiento entre organizaciones se aplica en la base de datos y se prueba todos los días.
• Los tokens de las plataformas conectadas se guardan cifrados.
• Las acciones con impacto (gasto, publicaciones) requieren aprobación de una persona con el rol adecuado.
• Hacemos revisiones de seguridad periódicas del código y de la infraestructura.

Más detalle sobre el tratamiento de datos en la Política de Privacidad.