# Reporte de incidencias de ciberseguridad | WithEquus Canonical: https://www.withequus.com/cybersecurity En caso de discrepancia entre versiones, prevalece la versión en español, que es la que resulta aplicable. Las traducciones a otros idiomas se ofrecen únicamente para facilitar la comprensión. 1. Finalidad y contacto Esta página explica cómo comunicar de forma responsable posibles problemas de seguridad que afecten a WithEquus, su plataforma o sus servicios. El objetivo es facilitar una coordinación rápida y reducir cualquier impacto sobre usuarios, hípicas, proveedores y terceros. WithEquus es operada por EQUUS THE HORSING APP, S.L., con CIF B-22810535 y domicilio social en C/Ginzo de Limia 53, Piso 17 Puerta A (28034, Madrid). Para reportar una posible incidencia, escribe a [administracion@withequus.com](mailto:administracion@withequus.com?subject=Reporte%20de%20ciberseguridad). No incluyas contraseñas, tokens, claves privadas, datos personales innecesarios ni información de terceros. Si el informe contiene información especialmente sensible, indícalo en el primer correo para coordinar un canal adecuado. 2. Autorización previa y alcance La publicación de esta política no constituye una autorización general para acceder a WithEquus ni a sus sistemas. Antes de realizar cualquier prueba activa, debes notificarnos y obtener autorización expresa y por escrito. La autorización previa es necesaria para escaneos intensivos o autenticados, pruebas de explotación, pruebas con cuentas reales, análisis que puedan afectar a la disponibilidad o cualquier actividad que salga de la observación pasiva de información pública. El silencio o una respuesta automática no deben interpretarse como permiso. La solicitud debe identificar a la persona responsable, los dominios y recursos incluidos, fechas y franjas horarias con zona horaria, técnicas previstas, origen de las pruebas cuando sea relevante, impacto esperado y medidas para detener la actividad. No comiences hasta recibir confirmación escrita. La autorización solo cubre el alcance expresamente aceptado; cualquier ampliación requiere una nueva confirmación. 3. Actividad no autorizada Esta política no concede permiso general para acceder, escanear, probar o permanecer en nuestros sistemas. Si detectamos actividad no autorizada, podremos bloquear el origen, revocar cuentas o accesos, conservar evidencias técnicas, comunicar los hechos a proveedores y autoridades competentes cuando proceda, y ejercer las acciones legales correspondientes. Determinadas conductas pueden tener relevancia penal conforme a la legislación aplicable. 4. Reglas para una investigación responsable Notifica la posible incidencia tan pronto como tengas indicios razonables y mantén la comunicación abierta. Limita la prueba a demostrar que existe el problema y utiliza el menor número de solicitudes, datos y permisos necesarios. Usa cuentas, datos y entornos de prueba propios o facilitados expresamente para la investigación. Detén inmediatamente la prueba si aparece información personal, financiera, confidencial o perteneciente a otra organización. Conserva la confidencialidad de la información obtenida y elimínala de forma segura cuando ya no sea necesaria. Cumple la legislación aplicable, las condiciones de uso y las instrucciones de alcance que te comuniquemos. No contactes con usuarios, hípicas, proveedores o trabajadores para continuar la investigación sin autorización específica. 5. Información recomendada para el informe Incluye, cuando sea posible, un resumen y el activo o URL afectado; descripción técnica e impacto potencial; pasos reproducibles o una prueba de concepto mínima y redactada; fecha y hora aproximadas con zona horaria; referencia de la cuenta de prueba sin credenciales; evidencias limitadas con tokens, datos personales y secretos ocultos; y una propuesta de mitigación si dispones de ella. 6. Actividades no permitidas Pruebas sin autorización previa que puedan afectar a la seguridad, disponibilidad o datos. Ataques de denegación de servicio, DDoS, pruebas de carga, estrés o inundación de solicitudes. Phishing, ingeniería social, suplantación, llamadas engañosas o acceso físico a instalaciones y dispositivos. Fuerza bruta, credential stuffing o acceso con credenciales ajenas. Acceder, copiar, modificar, borrar, descargar o exfiltrar datos más allá de la evidencia mínima necesaria. Instalar malware, establecer persistencia, abrir puertas traseras, pivotar a otros sistemas o mantener acceso tras confirmar el hallazgo. Explorar infraestructura de terceros no incluida expresamente en el alcance autorizado. Publicar, vender o comunicar el problema a terceros antes de acordar por escrito una divulgación coordinada. 7. Revisión y coordinación Revisaremos los informes recibidos de buena fe, podremos solicitar información adicional y evaluaremos la prioridad según la probabilidad y el impacto del problema. Procuraremos confirmar la recepción y coordinar medidas razonables, pero no garantizamos un plazo concreto de respuesta, corrección o divulgación. Si detectas acceso a información sensible, detén la prueba, no la compartas y escríbenos inmediatamente con una descripción mínima. 8. Recompensas y reconocimiento WithEquus no ofrece un programa de recompensas económicas ni se compromete a compensar, contratar o reconocer públicamente a quien envíe un informe. Cualquier reconocimiento solo podrá acordarse expresamente y por escrito antes de publicar una mención. 9. Divulgación responsable No divulgues públicamente una vulnerabilidad ni sus evidencias mientras esté siendo revisada o corregida. Cualquier fecha, alcance o forma de divulgación deberá acordarse previamente por escrito, teniendo en cuenta la protección de las personas, los datos y los sistemas relacionados. Esta política puede actualizarse; la versión publicada en esta página se aplicará a los nuevos informes.