Política de divulgación de vulnerabilidades

Idioma que rige: Esta versión en español se ofrece únicamente para su conveniencia. La versión en inglés (Vulnerability disclosure policy) es la que rige; si existe alguna diferencia entre las dos, prevalece la versión en inglés.

Última actualización: 20 de octubre de 2026

Si cree que encontró un problema de seguridad en FlockConnect, queremos saberlo. Esta página explica a dónde enviarlo, qué pruebas están permitidas, qué le prometemos a cambio y cómo lo protegemos cuando sigue esta política.

FlockConnect guarda los registros que las iglesias llevan sobre su gente: nombres, datos de contacto, grupos y el cuidado que les dan sus pastores. La mayoría de las reglas de esta página existen para que la información de personas reales quede fuera de cualquier prueba.

Cómo enviar un reporte

Escriba a security@flockconnect.com. Es nuestro Canal Oficial para reportes de seguridad. Por favor, incluya:

qué encontró y dónde (la página, la dirección o la función);
los pasos para reproducirlo en su propia iglesia de prueba;
qué podría hacer alguien con ello;
cómo podemos contactarle y el nombre que quiere que usemos.

Puede escribirnos en inglés o en español. Le respondemos en el idioma en que nos escribió, con el texto en inglés debajo, y la versión en inglés es la que cuenta.

Si no está seguro de si algo está permitido, pregúntenos en security@flockconnect.com antes de seguir.

Lo que le prometemos

Un acuse de recibo en cuanto llegue su reporte. Se envía automáticamente.
Una respuesta de una persona en un plazo de 3 días hábiles.
Una primera evaluación en un plazo de 10 días hábiles: si podemos reproducir el problema, si está dentro del alcance y qué tan grave nos parece.
Una actualización al menos cada 14 días hasta que cerremos su reporte.
Un mensaje cuando la corrección esté aplicada.

Un día hábil es de lunes a viernes, en hora del Este de Estados Unidos, sin contar los días festivos federales de Estados Unidos. El día en que llega su reporte no se cuenta.

Dónde puede hacer pruebas

Haga pruebas solo en una iglesia que usted mismo registre. Toda iglesia nueva empieza con un periodo de prueba gratuito de 14 días, y no se necesita tarjeta de pago. Llénela con personas inventadas.

Para comprobar si una iglesia puede llegar a los datos de otra, registre dos iglesias propias y haga las pruebas entre ellas. Nunca haga pruebas contra una iglesia que usted no creó.
Si necesita más tiempo, pídalo y extenderemos el periodo de prueba de su iglesia de prueba.
Si forma parte del personal de una iglesia o sirve como voluntario en una, haga sus pruebas en una iglesia de prueba aparte, nunca en el espacio de trabajo real de su iglesia, aunque su iglesia lo autorice. Una iglesia no puede dar su consentimiento en nombre de las personas que aparecen en sus registros.
Si nota algo mientras usa una iglesia real de forma normal, sin estar haciendo pruebas, por favor, repórtelo. Es bienvenido, y también lo cubre el puerto seguro (safe harbor).

Si ve datos de otra persona

Deténgase en cuanto vea datos que pertenecen a una iglesia real o a una persona real. Mire solo lo necesario para saber que son reales, como un nombre o un ID, y nunca abra notas. No los descargue, copie ni comparta, y difumínelos en cualquier captura de pantalla que nos envíe. Repórtelo de inmediato y, una vez que le confirmemos que recibimos su reporte, elimine todo lo que todavía tenga.

Esa iglesia es dueña de sus datos, así que le diremos lo que pasó. No le daremos su nombre, a menos que usted lo autorice o que la ley lo exija. Un accidente que se maneje de esta forma sigue cubierto por el puerto seguro.

Lo que no debe hacer

Nada de pruebas de denegación de servicio ni de carga.
Nada de ingeniería social ni de phishing dirigido a nuestro equipo, a las iglesias o a sus miembros.
Ninguna prueba física de ningún tipo.
Nada de ataques a cuentas que no sean suyas.
No deje nada atrás: ni puertas traseras, ni cambios que permanezcan después de su prueba.
Use solo personas inventadas, y envíe correos o mensajes de texto solo a direcciones y números de teléfono que sean suyos. Las invitaciones, las confirmaciones y los correos del equipo de cuidado llegan a bandejas de entrada reales.
Nunca envíe un formulario público ni una página para agendar citas de una iglesia real. Cada envío queda en los registros de esa iglesia y puede enviar correos reales.

Se permiten los escáneres automatizados, a no más de 5 solicitudes por segundo. Incluya security-research y una dirección de correo donde podamos contactarle en el User-Agent de cada solicitud, y nunca deje que un escáner llene o envíe un formulario.

Qué está dentro del alcance

Todo lo que está en flockconnect.com, y el mismo servicio en flockconnect-v2.vercel.app: el sitio web, la aplicación, la API en /api, el portal de miembros, los formularios públicos (/forms), las páginas para agendar citas (/book), el inicio de sesión, y los correos y enlaces seguros que enviamos.
La página de inicio de sesión de nuestra consola de fundador, en internal.flockconnect.net.
Nuestra propia configuración de los servicios externos que usamos, como un bucket de almacenamiento o una regla de base de datos que configuramos mal.

Los servicios externos en sí pertenecen a sus proveedores: Supabase, Vercel, Stripe, Resend, Twilio, Planning Center, Google y Microsoft. Por favor, reporte a ellos los problemas de sus plataformas. Todo lo que esta página no menciona queda fuera del alcance.

Hallazgos que no tratamos como reportes de seguridad

Encabezados de seguridad faltantes, cuando no hay un ataque que funcione.
Configuraciones de correo como SPF, DKIM y DMARC.
Clickjacking en una página que no tiene ninguna acción por la que valga la pena engañar a alguien.
Self-XSS: código que solo se ejecuta en su propio navegador.
Falsificación de solicitudes entre sitios (CSRF) al cerrar sesión.
Límites de frecuencia faltantes, excepto en el inicio de sesión, el registro y el restablecimiento de contraseña.
Números de versión de software que muestra una página o un encabezado.
Preferencias de cifrado TLS.
Si una dirección tiene una cuenta, según lo responde el propio servicio de nuestro proveedor de inicio de sesión.

Dos tipos de hallazgo siempre están dentro del alcance, aunque parezcan algo de esa lista:

Cualquier cosa que revele si una persona pertenece a una iglesia, aunque sea solo si una dirección de correo tiene una cuenta con nosotros. Pertenecer a una iglesia dice algo sobre la fe de una persona, por eso lo tratamos como un dato sensible. Esto abarca todo lo que FlockConnect opera; la única excepción es el propio servicio de nuestro proveedor de inicio de sesión, mencionado arriba.
Que Collie cruce un límite. Collie es el asistente de inteligencia artificial de FlockConnect. Avísenos si le muestra a alguien datos que no tiene permitido ver, si llega a otra iglesia, si envía datos a un proveedor de inteligencia artificial al que no debería, o si actúa sin que una persona lo apruebe. Si Collie solo dice algo raro o incorrecto, eso es un comentario sobre el producto: por favor, envíelo a support@flockconnect.com.

Puerto seguro (safe harbor)

(Traducción del texto Safe Harbor de disclose.io, que no tiene una versión oficial en español. Rige el texto en inglés.)

Cuando se realiza una investigación de vulnerabilidades conforme a esta política, consideramos que la investigación realizada bajo esta política es:

Autorizada en relación con cualquier ley aplicable contra el acceso ilícito a sistemas informáticos, y no iniciaremos ni apoyaremos acciones legales en su contra por infracciones accidentales y de buena fe a esta política;
Autorizada en relación con cualquier ley pertinente contra la elusión de medidas tecnológicas, y no presentaremos ninguna reclamación en su contra por eludir controles tecnológicos;
Exenta de las restricciones de nuestros Términos de Servicio (TOS) o de nuestra Política de Uso Aceptable (AUP) que interferirían con la realización de investigaciones de seguridad, y renunciamos a esas restricciones de forma limitada; y
Lícita, útil para la seguridad general de Internet y realizada de buena fe.

Como siempre, se espera que usted cumpla con todas las leyes aplicables. Si un tercero inicia una acción legal en su contra y usted ha cumplido con esta política, tomaremos medidas para dar a conocer que sus acciones se realizaron conforme a esta política.

Si en algún momento tiene dudas o no está seguro de si su investigación de seguridad es congruente con esta política, por favor, envíe un reporte a través de uno de nuestros Canales Oficiales antes de seguir adelante.

Tenga en cuenta que el puerto seguro se aplica solo a las reclamaciones legales que están bajo el control de la organización que participa en esta política, y que la política no obliga a terceros independientes.

Cómo funciona esto en FlockConnect:

La renuncia a nuestros Términos cubre las pruebas en iglesias que usted mismo registró.
Cubre los datos de otra iglesia solo cuando los encontró por accidente y los manejó como lo pide esta política.
Aun así, podemos pausar una iglesia de prueba que esté dañando el servicio. Una pausa no es una reclamación en su contra, y le diremos por qué.

Cómo dar a conocer lo que encontró

Por favor, mantenga los detalles en privado hasta que la corrección esté aplicada o hasta que pasen 90 días desde su reporte, lo que ocurra primero. Si una corrección necesita más tiempo, se lo pediremos y le explicaremos por qué. La decisión es suya.

Después de eso, puede publicarlo libremente. Nos gustaría ver su texto 5 días hábiles antes de que se publique, pero no necesita nuestra aprobación. Nunca publique datos de ninguna persona real.

No publicamos un aviso de seguridad por cada hallazgo. FlockConnect funciona como un solo servicio en línea, así que las iglesias no tienen nada que instalar ni actualizar. Si una iglesia necesita hacer algo, o si sus datos quedaron expuestos, se lo decimos directamente a esa iglesia.

Agradecimiento, no pago

No pagamos por los reportes de seguridad, ni damos regalos, artículos promocionales, certificados ni cartas de recomendación.

Si su reporte se confirma, está dentro del alcance de esta política, sigue esta política y es el primero que recibimos sobre ese problema, le ofreceremos agradecerle, mencionando su nombre, en nuestra página de agradecimientos una vez que la corrección esté aplicada. Usted elige el nombre que usamos y si incluimos un enlace a su sitio, o puede pedirnos que no lo incluyamos.

Preguntas

Escriba a security@flockconnect.com.