Seguridad y divulgación responsable

Escríbenos a seguridad@jairvs.com (en español o inglés) con:

• qué encontraste y qué impacto puede tener;
• los pasos, direcciones y datos de prueba para reproducirlo;
• la fecha y la cuenta de prueba que usaste;
• cómo contactarte, si quieres que te reconozcamos.

No incluyas datos personales de otras personas. Si los viste por accidente, dínoslo sin copiarlos. Nuestro contacto también está en security.txt.

Incluido: la aplicación web y la API publicadas en pedidoflow.jairvs.com (registro, inicio de sesión, panel, tiendas públicas, seguimiento de pedidos y enlaces de pago).

Fuera de alcance: servicios de terceros (Amazon Web Services, Resend, Meta, Culqi y otros), el contenido que publica cada comercio (repórtalo con «Reportar esta tienda» al pie de la tienda), ataques físicos o de ingeniería social, denegación de servicio, spam, y reportes sin impacto demostrable (por ejemplo, versiones de software, cabeceras faltantes sin un ataque concreto o fallas que solo afectan a navegadores sin soporte).

• Usa solo cuentas y tiendas de prueba que tú crees. No accedas, modifiques ni borres datos de otros comercios o compradores, y no hagas pedidos ni pagos reales en tiendas ajenas.
• Detente en cuanto demuestres el problema: no extraigas más información de la necesaria ni mantengas el acceso.
• No hagas pruebas de carga ni de denegación de servicio, ni uses escáneres automáticos que generen tráfico masivo.
• No envíes phishing ni engañes a nuestro equipo, a los comercios o a sus compradores.
• Mantén la confidencialidad: no publiques ni compartas el hallazgo hasta que lo corrijamos o hasta 90 días después de tu reporte, lo que ocurra primero, salvo que acordemos otra fecha.
• No pidas pagos a cambio de no divulgar un hallazgo.

• Confirmaremos que recibimos tu reporte en un máximo de 3 días hábiles.
• Te daremos una evaluación inicial en un máximo de 10 días hábiles.
• Te mantendremos informado hasta corregirlo, priorizando según la gravedad, y te avisaremos cuando esté resuelto.
• Si quieres, te reconoceremos públicamente. Por ahora no tenemos un programa de recompensas económicas.

Si investigas de buena fe y respetas estas reglas, consideramos tu investigación autorizada por PedidoFlow dentro de este alcance, no iniciaremos acciones legales contra ti por ella ni pediremos a las autoridades que lo hagan, y trabajaremos contigo para entender y corregir el problema. La Ley N.° 30096 exime de responsabilidad penal las pruebas autorizadas destinadas a proteger sistemas informáticos.

Este compromiso tiene límites: solo cubre lo que PedidoFlow puede autorizar (no a terceros como proveedores, comercios o autoridades) y no aplica si incumples las reglas, accedes a datos ajenos más allá de lo mínimo, causas daño o actúas con otro fin. Si dudas de si una prueba está permitida, pregúntanos antes.

• Conexión cifrada (HTTPS) en todo el sitio y cabeceras de seguridad estrictas.
• Contraseñas guardadas con Argon2id, rechazo de contraseñas comunes o filtradas y bloqueo temporal tras varios intentos fallidos.
• Verificación en dos pasos para todas las cuentas, obligatoria para el equipo de PedidoFlow, y avisos por correo ante inicios de sesión nuevos y cambios de seguridad.
• Sesiones protegidas contra robo y contra solicitudes falsificadas (CSRF).
• Información de cada negocio aislada de los demás y permisos por rol dentro de cada equipo.
• Credenciales de integraciones cifradas y registro de auditoría de acciones clave.
• Límites contra el registro, los pedidos y los intentos automatizados.
• Purga periódica de datos que ya no se necesitan y copias de seguridad.

Revisamos la seguridad con la guía OWASP ASVS. Ningún sistema es infalible: por eso valoramos tu reporte.

• Si una tienda te parece falsa, cobra sin entregar o suplanta a otra marca, usa «Reportar esta tienda» al pie de la tienda o escríbenos a seguridad@jairvs.com. Revisamos cada reporte y podemos despublicar la tienda mientras lo investigamos.
• Los pagos de una compra van a las cuentas del comercio, nunca a PedidoFlow. Desconfía de precios demasiado bajos y de pedidos de pago por adelantado a nombres que no coinciden con el vendedor.
• PedidoFlow nunca te pedirá tu contraseña ni tus códigos de verificación por correo, WhatsApp o teléfono. Entra siempre escribiendo pedidoflow.jairvs.com en tu navegador.