Política de divulgación responsable

Escribe a security@getrivus.ai, en español o inglés. Para que podamos actuar rápido, incluye:

• Qué encontraste y dónde (la dirección o el servicio afectado).
• Los pasos para reproducirlo y, si la tienes, una prueba de concepto.
• Qué impacto crees que tiene.
• Cómo quieres que te mencionemos si agradecemos el reporte públicamente.

Si en tu prueba viste datos de otras personas, cuéntanos qué tipo de dato fue, sin copiarlo en el reporte.

• La aplicación de Rivus en app.getrivus.ai y su dominio anterior.
• La API que usa la aplicación y la API pública para integraciones.
• El chat web que las empresas instalan en sus sitios.
• Este sitio, getrivus.ai.

Usa solo cuentas propias o de prueba. Si necesitas una cuenta de prueba, pídela a security@getrivus.ai.

• Ataques de denegación de servicio y pruebas de carga.
• Ingeniería social, phishing y acceso físico a oficinas o personas de Rivus o de sus clientes.
• Enviar mensajes, hacer llamadas o generar costos a través de los canales y números de nuestros clientes.
• Servicios de terceros que usamos, como Meta, Google, Amazon Web Services o Auth0: repórtalos en sus propios programas.
• Resultados de herramientas automáticas sin un impacto demostrado, como encabezados faltantes, versiones de software o configuraciones de correo.

• No accedas, modifiques ni elimines datos que no sean tuyos. Si te encuentras con datos de otra persona o empresa, detente y repórtalo.
• Extrae solo lo necesario para demostrar el problema.
• No dejes accesos persistentes una vez demostrado el problema.
• No afectes la disponibilidad del servicio para nuestros clientes.
• Mantén el hallazgo en reserva hasta que lo corrijamos, o hasta 90 días después de tu reporte, lo que ocurra primero.

• Confirmamos que recibimos tu reporte dentro de 3 días hábiles.
• Te damos una evaluación inicial dentro de 10 días hábiles.
• Corregimos según la gravedad y te mantenemos al tanto del avance.
• Te avisamos cuando esté resuelto y, si quieres, te agradecemos públicamente.

Si actúas de buena fe y respetas esta política, consideramos tu investigación autorizada: no iniciaremos acciones legales en tu contra por ella. Si un tercero lo hace por actividades realizadas conforme a esta política, informaremos que la autorizamos.

Por ahora no pagamos recompensas en dinero. Si lo deseas, reconocemos tu aporte públicamente.

Found a vulnerability in Rivus? Email security@getrivus.ai, in English or Spanish. In scope: app.getrivus.ai and its former domain, the APIs it uses, the public API, the web chat widget and getrivus.ai. Out of scope: denial of service, social engineering, messages, calls or costs through our customers' channels, third-party services and automated scanner output without demonstrated impact. Use only your own or test accounts, stop if you reach someone else's data, and keep the finding private until it is fixed or for up to 90 days. We acknowledge reports within 3 business days. We don't pay bounties at this time, but we are happy to credit you.