Divulgación Responsable de Vulnerabilidades

1. Directrices para investigadores

Al investigar posibles vulnerabilidades en nuestros sistemas, le pedimos que:

• Nos notifique lo antes posible tras identificar un problema real o potencial.
• Evite violaciones de privacidad, la degradación de la experiencia de otros usuarios, la interrupción de sistemas en producción o la destrucción/alteración de datos.
• Utilice exploits solo en la medida necesaria para confirmar la existencia de la vulnerabilidad, no para exfiltrar datos, obtener acceso persistente ni pivotar hacia otros sistemas.
• Nos conceda un plazo razonable para corregir el problema antes de cualquier divulgación pública.
• Evite el envío de un gran volumen de informes de baja calidad o generados por escáneres automatizados sin validación manual.
• Si encuentra datos sensibles (datos personales, información financiera, secretos comerciales) durante la prueba, deténgase de inmediato, avísenos y no comparta ni conserve esos datos.

2. Métodos de prueba no autorizados

• Pruebas de denegación de servicio (DoS/DDoS) o cualquier prueba que perjudique la disponibilidad de sistemas o datos.
• Ingeniería social (phishing, vishing) o pruebas de seguridad física contra colaboradores o instalaciones.

3. Alcance

Está dentro del alcance de esta política:

• La aplicación web en app.tangerinai.com.br y app.tangerinai.com.
• El sitio institucional en tangerinai.com.br y tangerinai.com.
• Las API expuestas bajo esos dominios.
• El binario del Agente Tangerin AI y la extensión de navegador de Tangerin AI, cuando se prueban en un entorno controlado por el propio investigador (su propia estación, con una prueba gratuita o cuenta de prueba).

Está fuera del alcance:

• La infraestructura de nuestros subencargados (p. ej., Vercel, Supabase): las vulnerabilidades en esos sistemas deben reportarse directamente al fabricante respectivo.
• Pruebas contra estaciones de trabajo, cuentas o entornos de terceros (otros clientes de Tangerin AI) sin autorización expresa y por escrito de ellos y nuestra.
• Cualquier sistema no listado arriba, salvo autorización previa y por escrito de Tangerin AI.

4. Cómo reportar

Envíe su informe a seguranca@tangerinai.com. Los informes pueden enviarse de forma anónima. Para ayudarnos a clasificar y priorizar, recomendamos incluir:

• Descripción de la vulnerabilidad y del impacto potencial de su explotación.
• Pasos detallados para la reproducción (los scripts de prueba de concepto o las capturas de pantalla ayudan).
• Idioma: portugués o inglés.

5. Qué puede esperar de nosotros

• Confirmación de recepción en un plazo de 5 días hábiles, si comparte un contacto.
• Comunicación transparente sobre el avance de la corrección, incluidos los eventuales motivos de retraso.
• Diálogo abierto durante todo el proceso de remediación.

Podemos apartarnos de estos plazos en situaciones excepcionales, por ejemplo, un riesgo inminente para los clientes que exija una divulgación más rápida, u obligaciones legales que exijan la divulgación en un plazo diferente.

6. Puerto seguro (safe harbor)

Consideramos la investigación de seguridad realizada de buena fe y de conformidad con esta política como una actividad autorizada. No iniciaremos ni apoyaremos acciones legales contra investigadores que sigan estas directrices de forma razonable, aunque, en el curso de la investigación, hayan accedido a datos más allá de lo estrictamente necesario para confirmar la vulnerabilidad, siempre que lo reporten de inmediato y sin uso indebido, conforme a la Sección 1.

Este puerto seguro no se aplica a pruebas que violen la Sección 2 (métodos no autorizados) o que estén fuera del alcance definido en la Sección 3.

7. Reconocimiento

No operamos un programa de recompensas financieras (bug bounty) en este momento. A solicitud y a nuestro criterio, podemos reconocer públicamente a los investigadores que reporten vulnerabilidades válidas, si así lo desean.

8. Revisiones de esta política

Podemos revisar esta política periódicamente. Los cambios se publicarán en esta página.

9. Contacto