Divulgación responsable de vulnerabilidades

Si crees que has encontrado un fallo de seguridad en skyseat, queremos saberlo. Esta página explica cómo avisarnos y qué puedes esperar de nosotros.

Cómo contactarnos

Escribe a team@skyseat.app. De momento es el único correo que usamos para esto; si cambia, lo actualizaremos aquí y en security.txt. Puedes escribirnos en español, inglés o portugués.

No envíes datos personales ni accesos reales de otras personas en el aviso: con describir el problema y cómo reproducirlo es suficiente.

Qué incluir en el aviso

• Qué has encontrado y dónde (dirección, pantalla o función).
• Los pasos para reproducirlo y, si puedes, una prueba mínima.
• Qué impacto crees que tiene.
• Cómo quieres que te llamemos si lo mencionamos (o si prefieres que no).

Qué hacemos al recibirlo

• Te confirmamos que lo hemos recibido en un plazo de 5 días laborables.
• Lo revisamos, te decimos si lo consideramos una vulnerabilidad y te mantenemos al tanto de la corrección.
• Si lo corregimos, te avisamos. Si quieres, te citamos como quien lo encontró.
• No emprenderemos acciones legales contra quien actúe de buena fe y cumpla estas reglas.

Somos un equipo pequeño: no prometemos plazos de corrección, pero sí avisarte de cómo va.

Qué entra en el ámbito

La web skyseat.app y la plataforma en app.skyseat.app (panel, API y computadoras de los empleados IA). Quedan fuera los servicios de terceros que usamos (consulta los subencargados): si el fallo es suyo, avísales a ellos.

Reglas de buena fe

• Prueba solo con cuentas propias. No accedas a datos de otras personas más allá de lo mínimo para demostrar el fallo, y no los guardes ni los compartas.
• No hagas ataques de denegación de servicio, spam, ingeniería social ni pruebas físicas.
• No degrades el servicio ni borres o modifiques datos.
• Danos un plazo razonable para corregirlo antes de publicar nada.

Recompensas

skyseat no ofrece recompensas ni programa de recompensas por errores. Agradecemos el aviso y, si quieres, lo reconocemos públicamente.

security.txt

Nuestro security.txt (RFC 9116) lleva el contacto, esta política y una fecha de caducidad. Lo renovamos antes de que caduque.

Última revisión: 1 de noviembre de 2026.