Seguridad y soporte de productos

La información sobre los periodos de soporte de los productos actuales y la información sobre el fin de vida útil (End-of-Life) de los productos antiguos está disponible en https://chipolo.net/regulatory.

Para cada producto aplicable, la página de información normativa indica durante cuánto tiempo pueden esperar los usuarios recibir las actualizaciones de seguridad pertinentes.

Configuración y uso seguros

Para ayudar a mantener seguros sus productos Chipolo, le recomendamos que:

• mantenga su dispositivo Android o iOS actualizado con las últimas actualizaciones disponibles del sistema operativo;
• se asegure de que Bluetooth y todos los permisos necesarios para la aplicación Chipolo estén habilitados en su dispositivo, de modo que el producto pueda comunicarse con la aplicación y recibir las actualizaciones disponibles;
• instale la aplicación Chipolo desde Apple App Store o Google Play y la mantenga actualizada a la versión más reciente;
• se asegure de que su producto Chipolo esté añadido a la aplicación Chipolo, ya que las actualizaciones de firmware se distribuyen a través de la aplicación y, dependiendo del producto, pueden requerir una acción por parte del usuario;
• compruebe regularmente en la aplicación Chipolo si hay actualizaciones de firmware disponibles e instálelas.

La información sobre cómo restablecer un producto, eliminarlo de una cuenta y borrar los datos de usuario asociados está disponible en la información de Chipolo sobre soporte de productos y privacidad.

Documentos de conformidad

La información normativa, de seguridad y sobre operadores económicos específica de cada producto, incluidas las advertencias aplicables y la información para consumidores, está disponible en https://chipolo.net/regulatory.

Contraseñas predeterminadas

Para los productos incluidos en el ámbito del régimen UK PSTI, Chipolo no utiliza contraseñas predeterminadas universales. Cuando se requiere autenticación, las credenciales son únicas para cada producto o son establecidas por el usuario.

Divulgación coordinada de vulnerabilidades

Mantenemos un proceso de divulgación coordinada de vulnerabilidades. Si cree que ha identificado una vulnerabilidad de seguridad en un producto Chipolo, en la aplicación Chipolo o en los servicios web o infraestructuras operados por Chipolo, póngase en contacto con nosotros en security@chipolo.net.

Revisamos de buena fe todos los informes de vulnerabilidades. Nuestro equipo de seguridad iniciará la evaluación inicial y validación de los informes críticos de forma rápida y sin demoras indebidas. En el caso de informes no críticos, procuramos proporcionar una primera respuesta en un plazo de 7 días hábiles. Cuando así lo exija la legislación aplicable, Chipolo cumplirá sus obligaciones de notificación de incidentes de ciberseguridad y vulnerabilidades.

Fuera del alcance

Para poder centrarnos en amenazas concretas y accionables, los siguientes asuntos se consideran fuera del alcance. Aunque agradecemos la información, no debe esperar una respuesta rápida para informes que consistan exclusivamente en:

• cabeceras o indicadores de seguridad HTTP ausentes, por ejemplo Strict-Transport-Security o X-Frame-Options, sin una posibilidad de explotación demostrable;
• problemas de configuración del correo electrónico, por ejemplo registros SPF, DKIM o DMARC ausentes o configurados de forma débil;
• problemas de configuración SSL/TLS, por ejemplo suites de cifrado débiles, sin una posibilidad de explotación demostrable;
• resultados de herramientas automatizadas de análisis de vulnerabilidades sin una posibilidad de explotación demostrable o sin un ejemplo adecuado de cómo podrían utilizarse los resultados para un ataque;
• clickjacking en páginas que no contienen acciones sensibles;
• ataques físicos, manipulación destructiva de hardware o técnicas que requieren equipos de laboratorio especializados, salvo que el informe demuestre un impacto práctico en la ciberseguridad en el contexto de un uso o uso indebido razonablemente previsible;
• vulnerabilidades presentes en plataformas de terceros, sistemas operativos subyacentes como iOS o Android, o redes de búsqueda asociadas, incluidas Apple Find My y Google Find Hub.

Además, los informes relacionados con el uso indebido de un dispositivo que por lo demás funciona correctamente, sin que se haya identificado una vulnerabilidad de ciberseguridad, por ejemplo el seguimiento no deseado, quedan fuera del alcance de este proceso de divulgación de vulnerabilidades. Si cree que se encuentra en peligro inmediato o que puede ser víctima de una conducta ilícita, póngase en contacto con las autoridades policiales locales o con los servicios de ayuda y seguridad adecuados.

Qué debe incluir un informe

Para ayudarnos a validar y abordar de forma eficiente una vulnerabilidad comunicada, incluya tantos detalles relevantes como sea posible, como el producto Chipolo, la aplicación o el servicio afectados, la versión de firmware o software, los pasos necesarios para reproducir el problema, el posible impacto en la seguridad y cualquier prueba de concepto (proof-of-concept), registro, captura de pantalla o vídeo que pueda compartirse de forma segura. Indíquenos también si la vulnerabilidad parece ser de conocimiento público o estar siendo explotada activamente, e incluya una forma fiable de contactar con usted para realizar preguntas de seguimiento.

Avisos de seguridad y notificación a los usuarios

Cuando Chipolo corrija una vulnerabilidad que pueda afectar a los usuarios, proporcionaremos la información adecuada y orientación para la corrección o reducción del riesgo a través de canales de comunicación apropiados. Estos pueden incluir páginas de soporte de productos, avisos de seguridad, notificaciones dentro de la aplicación, notas de actualización de firmware o software o, cuando proceda, comunicación directa. La información pública puede incluir el producto o servicio afectado, una descripción del impacto, el nivel de gravedad cuando corresponda, las medidas de reducción del riesgo o actualizaciones disponibles, así como las acciones recomendadas para los usuarios, salvo que sea necesario retrasar la divulgación para reducir un riesgo de seguridad.

Privacidad y tratamiento de datos

Cuando envía un informe de vulnerabilidad a security@chipolo.net, Chipolo d.o.o. recopila datos personales limitados, como su nombre o alias, dirección de correo electrónico e historial de comunicaciones, estrictamente con el fin de realizar la evaluación inicial del informe, comunicarse con usted en relación con la vulnerabilidad y cumplir nuestras obligaciones normativas.

Tratamos estos datos sobre la base jurídica del interés legítimo y la obligación legal. Sus datos personales se almacenarán de forma segura, solo serán accesibles para personal interno autorizado y se conservarán únicamente durante el tiempo necesario para mitigar la vulnerabilidad y cumplir los plazos legales de notificación.

Podemos divulgar la información contenida en un informe cuando la ley así lo exija, incluso a las autoridades competentes, limitando los datos personales compartidos a lo necesario.

Para obtener más información sobre cómo tratamos los datos personales, o para ejercer sus derechos de acceso, rectificación o supresión de sus datos, consulte nuestra política de privacidad completa en https://chipolo.net/privacy.

Protección jurídica para investigadores de seguridad

Consideramos que la investigación de seguridad y la divulgación de vulnerabilidades están autorizadas siempre que se realicen de buena fe y de conformidad con estas directrices de divulgación.

Para mantenerse protegido por esta protección jurídica, debe:

• mantener estrictamente confidenciales todos los detalles de la vulnerabilidad y no divulgar públicamente ningún dato de usuarios, financiero o propietario. Cualquier divulgación pública posterior a la implementación de una medida de reducción del riesgo o de una corrección debe coordinarse con nosotros;
• evitar violaciones de la privacidad, destrucción de datos e interrupciones o degradación de nuestros servicios, por ejemplo ataques de denegación de servicio;
• evitar la ingeniería social, el phishing o los ataques físicos contra empleados de Chipolo, oficinas de Chipolo o nuestra cadena de suministro.

Si sigue estas directrices y actúa de buena fe, Chipolo no tiene intención de emprender acciones legales contra usted por su investigación. Tenga en cuenta que esta protección jurídica se aplica únicamente a los sistemas bajo el control directo de Chipolo y no puede extenderse a redes o plataformas de terceros, como Apple Find My o Google Find Hub.