Política de Divulgación de Vulnerabilidades

1. Introducción

cepaos LLC opera una plataforma SaaS de gestión vitivinícola. Alentamos el reporte responsable de vulnerabilidades.

2. Alcance (In Scope)

• cepaos.com — sitio web público
• www.cepaos.com — dashboard autenticado
• API pública
• Formularios públicos
• Flujos de autenticación

3. Fuera de Alcance

• Infraestructura de terceros (Supabase, Cloudflare, dLocalGo, etc.)
• Ingeniería social
• Ataques DoS/DDoS
• Spam, phishing
• Reportes automatizados sin análisis manual

4. Como Reportar

Enviar a security@cepaos.com con: descripción, pasos para reproducir, impacto potencial, evidencia y entorno.

5. Safe Harbor

cepaos no iniciará acciones legales contra investigadores de buena fe que actúen dentro del alcance definido.

6. Tiempos de Respuesta

7. Programa de Recompensas

cepaos no ofrece recompensas económicas (bug bounty) en esta etapa. Mantenemos un Hall of Fame público.

8. Restricción de Divulgación Pública

90 días calendario o confirmación de fix desplegado, lo primero.

9. Contacto

• security@cepaos.com
• cepaos LLC — Wyoming, Estados Unidos