Política de Divulgación Responsable

PhysioClinic Pro maneja datos de salud (PHI) y toma la seguridad muy en serio. Si reporta una vulnerabilidad de buena fe, nos comprometemos a:

• Acusar recibo dentro de las 72 horas hábiles.
• Mantenerle informado del progreso de la investigación.
• No iniciar acciones legales por el descubrimiento y reporte responsable.
• Reconocer su contribución (si lo desea) al publicar la corrección.

✅ En alcance:

• API backend y aplicación web frontend.
• Proceso de registro y autenticación.
• Control de acceso inter-tenant.
• Manejo de datos clínicos/PHI y segregación de tenants.
• Gestión de sesiones y tokens de autenticación.

❌ Fuera de alcance:

• Infraestructura de proveedores de nube y servicios de terceros (reportar directamente a cada proveedor).
• Ataques DoS / DDoS.
• Spam o ingeniería social contra el personal.
• CVEs conocidos sin demostración de impacto real.

1. No acceder a datos reales de pacientes. Use exclusivamente cuentas de prueba creadas por usted para la investigación.
2. No modificar, eliminar ni exfiltrar datos de ninguna clínica o paciente.
3. No interrumpir el Servicio ni degradar la experiencia de otros usuarios.
4. Reportar de inmediato cualquier dato de paciente al que haya accedido accidentalmente; no continuar la investigación sobre ese vector.
5. Confidencialidad obligatoria: Toda la información sobre vulnerabilidades, arquitectura interna, comportamiento del sistema o datos obtenidos durante la investigación es confidencial. No puede divulgarse, publicarse, compartirse con terceros ni usarse para ningún fin distinto al reporte al Proveedor.
6. No divulgar públicamente la vulnerabilidad antes de que el Proveedor lance una corrección, o hasta 90 días después del reporte inicial, lo que ocurra primero.
7. La información compartida en el reporte no puede usarse para desarrollar, mejorar o comercializar productos o servicios competidores.

Envíe su reporte a security@physioclinicpro.com

Incluya en su reporte:

• Descripción de la vulnerabilidad y su impacto potencial.
• Pasos para reproducir (PoC) sin datos reales de pacientes.
• Capturas o logs relevantes.
• Su evaluación de severidad (CVSS si es posible).
• Si desea reconocimiento público, incluya su nombre/alias.