Inicio / Legal

Política de divulgación responsable de vulnerabilidades

Borrador en revisión jurídica. Este documento todavía no está vigente. Los datos resaltados se completan antes de publicarlo.

‹Razón social del proveedor› (en adelante, «Colegio Digital»), NIT ‹NIT›, presta la plataforma Colegio Digital y su consola de administración. Le agradecemos a quien, de buena fe, nos avise de una falla de seguridad. Esta política dice cómo avisarnos, qué puede esperar y qué le pedimos.

1. Cómo reportar

Correo: seguridad@colegiodigital.co ‹confirmar›.
Archivo security.txt: cada colegio lo publica en https://‹id›.colegiodigital.co/.well-known/security.txt, según el estándar RFC 9116. La marca lo publica en https://colegiodigital.co/.well-known/security.txt.
Qué incluir:
- la dirección o pantalla afectada;
- los pasos para reproducir la falla;
- el impacto que usted cree que tiene;
- un medio para contactarle, si quiere que le respondamos.
Idiomas: español o inglés.
No incluya datos personales de terceros. Si al probar vio datos de estudiantes, acudientes o personal, describa qué tipo de datos vio, sin copiarlos.

2. Qué puede esperar de nosotros

Paso	Plazo objetivo ‹confirmar›
Acuse de recibo	3 días hábiles
Primera evaluación (si la falla es real y qué tan grave es)	10 días hábiles
Corrección de una falla grave	Lo antes posible. Le informaremos la fecha estimada.
Aviso de cierre a quien reportó	Al publicar la corrección

Le mantendremos informado del avance.
Si lo desea, le daremos crédito público cuando se corrija la falla.
Esta política no incluye pagos ni recompensas.

3. Qué le pedimos (pruebas de buena fe)

Está permitido:

probar con su propia cuenta;
hacer lo mínimo necesario para demostrar la falla.

No está permitido:

acceder, copiar, modificar o borrar datos de otras personas, ni guardarlos;
degradar el servicio: ataques de denegación de servicio, pruebas de carga o envío masivo de solicitudes;
usar ingeniería social con el personal de un colegio o del proveedor;
hacer pruebas físicas en sedes;
probar sobre servicios de terceros. Por ejemplo, la infraestructura de Cloudflare se rige por su propio programa;
divulgar la falla antes de que esté corregida o de que pasen 90 días desde su reporte, lo que ocurra primero, salvo acuerdo con nosotros.

4. Nuestro compromiso

Si usted cumple esta política, Colegio Digital:

considera su investigación como autorizada en lo que de nosotros dependa;
no iniciará acciones legales contra usted por ella;
si un tercero lo hiciera, informará que usted actuó dentro de esta política.

5. Qué hacemos nosotros con una falla confirmada

Si una falla confirmada comprometió datos personales:

aplicamos el plan de incidentes del proveedor;
avisamos al colegio afectado, que es el responsable del tratamiento;
el colegio informa a la Superintendencia de Industria y Comercio (SIC) cuando corresponde, con nuestro apoyo.

6. Vigencia

Versión: 1, del ‹fecha de publicación›.
Revisión: al menos una vez al año, cuando se renueve el campo Expires del archivo security.txt.