Seguridad

Comunicar una vulnerabilidad

Adónde enviarla, qué incluir, y nuestro compromiso de no perseguir la investigación de buena fe.

Envía los informes de seguridad a security@afer.app. Es una sola dirección, leída por las personas que pueden arreglar el problema. Escríbelo en lenguaje llano; una prueba que funciona vale más que un texto largo. Recibes una respuesta confirmando que lo tenemos y una persona como contacto hasta que el asunto se cierre. Si el correo electrónico no es una opción, el formulario de solicitud de soporte de este sitio también sirve.

• qué encontraste, y qué podría hacer alguien con ello
• dónde está: la dirección, la app y su versión, la plataforma
• los pasos para reproducirlo, en orden
• capturas de pantalla, una grabación corta, o las peticiones y las respuestas
• el nombre o el alias que quieres que se acredite, o ninguno

Si investigas de buena fe y te mantienes dentro del alcance que se indica abajo, no emprenderemos acciones legales contra ti por las pruebas, ni pediremos a nadie que lo haga, ni te denunciaremos por ello. Lo confirmaremos por escrito si lo necesitas. Buena fe significa que usas tus propias cuentas, que tomas solo los datos necesarios para demostrar el hallazgo, que paras en cuanto tienes la prueba, y que nos das tiempo para arreglarlo antes de publicarlo.

Esa promesa termina donde termina la investigación. La extorsión, las amenazas, vender un hallazgo, cambiar o borrar datos de otras personas, y usar una cuenta en la que has entrado forzando la seguridad no son investigación, y los tratamos como fraude. Tampoco podemos hablar por nadie más. Si tus pruebas tocan un servicio que no gestionamos nosotros, se aplican las reglas de ese proveedor. Dínoslo de todas formas y trasladaremos lo que podamos.

Alcance

Qué apps, dominios y API entran, y qué queda fuera.

Dentro del alcance: afer.app y las páginas que se sirven bajo ese dominio, la app de Afër en iOS y Android, la app de comercios, la app de conductores, y la API pública que hay detrás de todas ellas. Si un usuario, un comercio o un conductor corriente puede llegar a ello, queremos saberlo. Eso incluye las partes del sitio que reciben datos tuyos, como el formulario de solicitud de soporte, el banner de consentimiento y la cookie de idioma.

• la ingeniería social contra nuestro personal, comercios, conductores, repartidores o usuarios
• los ataques físicos contra oficinas, vehículos, dispositivos o personas
• la denegación de servicio, las pruebas de carga, o cualquier cosa que degrade el servicio en producción
• los informes que son solo la salida de un escáner automático, sin impacto demostrado
• los servicios que no operamos nosotros, incluidas las tiendas de aplicaciones y nuestro procesador de pagos

Haz las pruebas contra tus propias cuentas y tus propios datos. No hagas un pedido real, no pidas un viaje real, ni reserves una inspección para demostrar algo, y no metas a un comercio en activo en un trabajo que le cueste dinero. No leas el chat, el recibo ni el registro de viaje de otra persona; los números de teléfono enmascarados siguen enmascarados. Si un hallazgo solo se puede demostrar con datos de otra persona, para ahí y descríbelo, y montaremos una cuenta de prueba contigo.

Tiempos de respuesta

Acuse de recibo, clasificación y plazos de corrección.

Acusamos recibo de todos los informes enviados a security@afer.app en un plazo de dos días hábiles, y terminamos la clasificación en cinco. La clasificación te da tres cosas: una gravedad, una decisión sobre si el hallazgo está dentro del alcance, y el nombre de la persona que se encarga de él. Si no podemos reproducir el problema, lo decimos y preguntamos qué se nos pasó, en lugar de cerrarlo en silencio. También acusamos recibo de los duplicados, y te decimos qué informe llegó primero. Los tiempos de abajo son los objetivos con los que trabajamos, no garantías.

• crítico, como la toma de control de una cuenta o dinero que se mueve sin consentimiento: contenido de inmediato, corregido en un plazo de siete días
• alto: corregido en un plazo de treinta días
• medio: corregido en un plazo de noventa días
• bajo: corregido en una versión ordinaria, y te decimos en cuál
• cualquier plazo que vayamos a incumplir: te avisamos antes de que venza, con una fecha nueva

Estos plazos son distintos de los que sigue el equipo de soporte. Soporte procura responder a los informes de seguridad en menos de una hora, de día o de noche, a los pagos y reembolsos el mismo día hábil, y a todo lo demás en un día hábil. Si lo que has encontrado está poniendo en peligro a una persona concreta ahora mismo, no esperes en la cola de seguridad. Usa SOS en la aplicación o escribe a support@afer.app y di que es urgente.

Seguridad de la cuenta

Verificación del teléfono, gestión de sesiones, y lo que nunca te pediremos.

Tu cuenta está vinculada a tu número de teléfono. Al iniciar sesión se envía un código de un solo uso a ese número, y un dispositivo nuevo necesita un código nuevo antes de ver nada. Las sesiones siguen abiertas en los dispositivos que ya has aprobado, así que merece la pena saber qué teléfonos son. Eliminar la cuenta desde Ajustes cierra esas sesiones con ella, y borra tu perfil y tus datos personales.

• el código de un solo uso enviado a tu teléfono, nunca, por ningún motivo
• una contraseña, porque la cuenta no usa ninguna
• el número completo de tu tarjeta, ni en el chat, ni por correo electrónico, ni en una llamada
• un pago para liberar un reembolso, un cobro o un saldo del monedero
• acceso remoto a tu teléfono, o que compartas la pantalla de tu monedero

Cualquiera que te pida una de esas cosas no somos nosotros, diga lo que diga el identificador de llamadas o el logotipo. El soporte real llega a ti a través de Ayuda en la app, a través de support@afer.app, o como respuesta a una solicitud que abriste en el sitio, con el código de referencia que se te dio. Si alguien llama diciendo que es Afër y te pide tu código, cuelga y dínoslo.

Dínoslo rápido si pierdes el teléfono, pierdes el número, o ves un pago que no hiciste. Podemos suspender una cuenta mientras lo revisamos, y los problemas de pago se responden el mismo día hábil. Un fraude confirmado deja la puntuación de confianza de ese perfil en cero y cierra la cuenta. La puntuación se construye a partir de la verificación, las transacciones completadas, las valoraciones, la antigüedad de la cuenta y las inspecciones superadas, y el titular de la cuenta no puede editarla.

Seguridad de los pagos

Cómo se tratan los saldos del monedero y las recargas con tarjeta, y el diseño del QR de un solo uso.

El monedero es prepago, y cada servicio se liquida desde el mismo saldo. Es un límite deliberado: lo máximo que alguien puede alcanzar a través de la app es lo que hayas cargado, no la cuenta bancaria que hay detrás. Las recargas con tarjeta pasan por nuestro procesador de pagos. El dinero que cargaste solo puede volver a la tarjeta de la que salió, nunca a una cuenta bancaria ni a otra tarjeta, y las ganancias solo se pagan en la cuenta bancaria registrada de quien las ganó, nunca en una cuenta que alguien te pase por un chat.

El pago en persona en un mostrador usa un código QR de un solo uso que se muestra en la app de comercios. El código lleva un pago, por ese importe, y queda gastado una vez usado, así que una foto de la pantalla no vale nada después. Nadie que trabaje a través de Afër puede pedirte dinero fuera de la app: donde se acepta efectivo en la puerta, entregas exactamente el importe que muestra la app, y nada más.

Cada pago deja un recibo detallado en el monedero, con la tarifa mostrada aparte, así que un cargo que no reconozcas es fácil de detectar. Tienes 14 días desde un pedido, un viaje o una compra para abrir una reclamación, y ningún plazo para un aviso de seguridad ni para el dinero que todavía retenemos. Mientras un caso está abierto, el importe está retenido, no liquidado, y los reembolsos vuelven al saldo del monedero del que salieron, normalmente a los pocos minutos de una decisión.

Protección de datos

Cifrado en tránsito y en reposo, control de accesos y registro de auditoría.

El tráfico entre tu dispositivo y Afër va cifrado en tránsito, y lo que guardamos está cifrado allí donde se almacena: los datos de la cuenta, los registros de transacciones, la información del dispositivo, los mensajes de soporte, y la ubicación que recogemos mientras un servicio está en curso. La recogida de ubicación se detiene cuando se detiene el servicio. Mantenemos los datos personales fuera de las direcciones web y fuera de cualquier cosa que de otro modo acabaría en un registro rutinario.

Dentro de Afër, el acceso se concede por rol y por necesidad. Un agente que gestiona tu caso ve el pedido, el viaje o el anuncio adjunto, no los datos de tu tarjeta ni los casos de un compañero. El acceso a los sistemas que contienen datos personales queda registrado y los registros se revisan. Un empleado que abre un registro que no tenía motivo para abrir se trata como un incidente de seguridad, no como un descuido.

• exporta todo lo que nos has dado, en un archivo legible por máquina
• elimina la cuenta desde Ajustes, y con ella el perfil y los datos personales
• los registros de transacciones que la ley nos obliga a conservar se quedan, sin tus datos de contacto
• las cookies de analítica en afer.app solo se instalan después de que elijas Aceptar
• afer_lang guarda un código de idioma de dos letras y no se usa para analítica

El envío de un formulario web se guarda con un código de referencia, la hora, el país aproximado desde el que llegó, y la dirección IP, que usamos para prevenir abusos. Podemos poner Cloudflare Turnstile delante de un formulario para distinguir a las personas de los bots. Un envío se conserva el tiempo que lo necesitemos para atender tu solicitud, y hasta 24 meses después.

Agradecimientos

Investigadores que han informado de forma responsable.

Damos crédito a los investigadores que informan de forma responsable, con su consentimiento y nunca sin él. Dinos en tu informe cómo quieres aparecer: un nombre, un alias, una empresa, o nada en absoluto. Puedes cambiar de opinión más adelante y retiraremos la entrada. No prometemos pago por un informe, y no ocultaremos un crédito porque un hallazgo nos haya resultado embarazoso.

• el nombre o el alias que eligió el investigador
• el mes en que nos llegó el informe
• el tipo de problema, descrito sin una receta para repetirlo

La lista es abierta y empieza vacía. Se va llenando a medida que la gente informa, y una entrada se publica una vez que la corrección se ha desplegado y el investigador ha aceptado la redacción. Si informaste de algo y no apareces en la lista, o estás en ella y quieres salir, escribe a security@afer.app y lo corregiremos en un día hábil.