Introducción
MyClusters B.V. («MyClusters») se toma muy en serio la seguridad de sus productos y servicios. Nuestra plataforma procesa datos de salud de personas que padecen cefalea en racimos, y valoramos el trabajo de los investigadores de seguridad que nos ayudan a identificar y corregir vulnerabilidades. Queremos que te resulte fácil y seguro hacerlo. Esta política describe las normas para informar de una vulnerabilidad que hayas descubierto.
Ámbito de aplicación
Se incluyen en el ámbito de aplicación:
- https://myclusters.nl y sus subdominios
- Las aplicaciones de MyClusters para iOS y Android
- El panel de control de investigación de MyClusters, las herramientas de encuestas y la herramienta ePRO
- API que dan soporte a los servicios mencionados anteriormente
Quedan excluidos del ámbito de aplicación:
- Servicios y plataformas de terceros que MyClusters utiliza pero que no gestiona (por ejemplo, proveedores de alojamiento en la nube, tiendas de aplicaciones, plataformas de boletines informativos y de podcasts). Por favor, comunica las vulnerabilidades de estos servicios directamente al proveedor correspondiente.
- Ingeniería social (por ejemplo, phishing) dirigida al personal o a los colaboradores de MyClusters.
- Ataques físicos.
- Ataques de denegación de servicio (DoS).
- Escaneo automatizado que genera un tráfico excesivo.
Situación jurídica y puerto seguro (safe harbour)
MyClusters no emprenderá acciones legales contra aquellos usuarios que informen de vulnerabilidades de buena fe, se ajusten al ámbito de aplicación de esta política, no accedan ni modifiquen datos más allá de lo necesario para demostrar el problema y respeten el plazo de divulgación.
Términos y condiciones
- 01No reveles públicamente la vulnerabilidad hasta que MyClusters haya tenido un plazo razonable para investigarla y subsanarla (normalmente, 90 días a partir de la fecha de la notificación).
- 02No accedas, modifiques, extraigas ni destruyas datos de MyClusters ni de sus usuarios. Utiliza únicamente cuentas que sean tuyas o que hayas creado con fines de prueba.
- 03Si, sin querer, accedes a datos personales o sanitarios, detén la prueba inmediatamente, no guardes ni compartas los datos e infórmanos al respecto en tu informe.
- 04No realices pruebas que interrumpan el servicio a otros usuarios (no se permiten ataques DoS ni escaneos automatizados a velocidades que afecten al rendimiento).
- 05No realices pruebas en las cuentas o entornos de los pacientes o de los colaboradores en la investigación sin su consentimiento previo y explícito.
- 06Los informes deben presentarse en inglés y contener suficiente información para poder reproducir el problema.
Cómo informar de una vulnerabilidad
Envía tu informe a security@myclusters.nl.
Incluir:
- Una descripción clara de la vulnerabilidad y sus consecuencias.
- Instrucciones paso a paso para reproducir el problema, incluyendo cualquier código de prueba de concepto, capturas de pantalla o vídeos.
- La URL, el endpoint o el producto afectados, así como la versión, si procede.
- Tus datos de contacto, por si deseas recibir novedades y que se te mencione.
Qué puedes esperar de nosotros
Te confirmaremos la recepción de tu informe en un plazo de 5 días laborables.
Una evaluación y un calendario de medidas correctoras previsto en un plazo de 10 días laborables.
Actualizaciones sobre el estado a medida que investigamos y solucionamos el problema.
MyClusters no cuenta con un programa de recompensas por la detección de errores y no ofrece recompensas económicas por las vulnerabilidades notificadas.
Criterios de aceptación y establecimiento de prioridades
Los informes se evalúan mediante el Sistema Común de Puntuación de Vulnerabilidades (CVSS), teniendo en cuenta el impacto en la confidencialidad, la integridad y la disponibilidad de nuestros servicios y de los datos personales que tratamos. A cada informe validado se le asigna un nivel de prioridad —Crítico, Alto, Medio o Bajo— y se planifican las medidas correctoras en consecuencia.
Por lo general, no aceptamos los siguientes informes:
- Cuestiones teóricas sin repercusiones prácticas demostrables.
- Ausencia de encabezados o configuraciones recomendados por las buenas prácticas, sin que se haya demostrado que puedan explotarse.
- Resultados obtenidos con escáneres automáticos sin validación.
- Vulnerabilidades en sistemas que quedan fuera del ámbito de esta política o que requieren técnicas excluidas de dicho ámbito (por ejemplo, ingeniería social, acceso físico, DoS).