Actualizada el 22 de abril de 2024

La seguridad de nuestros clientes y los servicios que les proporcionamos es una prioridad en Quipu. Como proveedor de servicios estrechamente relacionados con los datos personales y administrativos (CRM, facturación, contabilidad), la seguridad está en el centro de todos nuestros desarrollos.

A pesar de esta atención especial, pueden seguir existiendo vulnerabilidades en nuestros productos.El propósito de este documento es describir nuestra política de divulgación de vulnerabilidades, formalizando nuestro compromiso con la seguridad y reconociendo los esfuerzos de la comunidad de expertos en seguridad.

Ámbito:
1. Cualquier componente de la aplicación Quipu by Sellsy (interfaz web, API, etc.)
2. Servicios alojados en los siguientes dominios:
- getquipu.com
- go.sellsy.com
- login.sellsy.com
- www.sellsy.com
- api.sellsy.com
- apifeed.sellsy.com
- quipuapp.github.io/api-v1-docs/

Quipu se compromete a no emprender acciones legales contra las partes que envíen informes de vulnerabilidad, siempre que los remitentes:
- Realicen investigaciones de seguridad sin dañar a Quipu, sus clientes, empleados o contratistas.
- No utilicen, divulguen ni modifiquen ningún dato obtenido en el curso de sus investigaciones.
- No realicen ninguna acción que pueda alterar el funcionamiento adecuado de los servicios.
- No lleven a cabo ataques de denegación de servicio.
- Cualquier vulnerabilidad identificada debe ser reportada en un informe detallado, escrito en inglés. El informe debe presentar una prueba válida de la vulnerabilidad, junto con los pasos necesarios para reproducir el problema.
No se debe incluir ningún dato personal en el informe.
El/los remitente(s) se comprometen a no divulgar públicamente la vulnerabilidad sin el consentimiento explícito de Quipu. Los informes deben enviarse a security@sellsy.com, cifrados con la clave PGP disponible aquí: responsible-disclosure-pgp-key.txt
Nota: La dirección security@sellsy.com tiene como único propósito recibir informes de vulnerabilidades. Cualquier otra solicitud debe ser enviada a contact@sellsy.com.
Sellsy se compromete a responder a los remitentes.Si la vulnerabilidad reportada es confirmada, se podrá otorgar una recompensa financiera a los remitentes, a discreción de Quipu .Además, el remitente podrá ser acreditado en una página pública gestionada por Quipu.