Seguridad
Seguridad y divulgación de vulnerabilidades
Sealambda construye y opera software que trata datos sensibles: información de salud en un CRM de salud y bienestar, y conversaciones entre nuestros clientes y sus usuarios finales por WhatsApp, Instagram, Facebook y email, procesadas por agentes de IA. La seguridad la asumen los fundadores; no se delega. Esta página dice quién es el responsable, cómo trabajamos y cómo comunicar una vulnerabilidad.
Responsable de seguridad
- Nombre
- Giorgio Azzinnaro
- Cargo
- Cofundador
- giorgio.azzinnaro@sealambda.com
- linkedin.com/in/giorgioazzinnaro
Cómo trabajamos
- Políticas por escrito
- Nuestras políticas de seguridad de la información, de tratamiento de datos y de respuesta a incidentes están por escrito, las aprueban los dos administradores y se revisan al menos una vez al año.
- Aislamiento entre clientes
- El aislamiento entre clientes (tenants) se aplica en la capa de datos.
- Salvaguardas de los agentes de IA
- Probamos los agentes de forma adversarial frente a inyección de prompts, fuga de datos, acceso entre clientes y uso indebido de herramientas. Los permisos de herramientas de cada agente se limitan a su tarea, las conversaciones se pueden escalar a una persona y los usuarios finales saben cuándo hablan con una IA.
- Alojamiento y cifrado
- Los servidores y bases de datos de producción están en la UE, en Alemania. Algunos proveedores, entre ellos los de los modelos de IA que usan nuestros agentes, están fuera de la UE. Todos los puntos de acceso públicos usan TLS, y en nuestra plataforma de mensajería el contenido de los mensajes y los adjuntos también se cifran en reposo.
- Control de acceso
- Los accesos se conceden con el mínimo privilegio y se retiran en un máximo de 24 horas cuando alguien deja la empresa o cambia de función. A los servidores se accede solo con claves SSH, y las bases de datos y los paneles de administración solo son accesibles a través de una red privada.
- Dependencias
- Revisamos las dependencias de código abierto antes de adoptarlas.
- Incidentes
- Seguimos un plan de respuesta a incidentes por escrito. Si un incidente afecta a datos de clientes, se lo notificamos a los clientes afectados lo antes posible, y a las autoridades y a las personas afectadas cuando la nLPD o el RGPD lo exigen.
Comunicar una vulnerabilidad
Envía el informe a security@sealambda.com. Incluye:
- la URL o la app afectada
- los pasos para reproducirla
- el impacto, tal como lo entiendes
- cómo podemos contactarte
A qué nos comprometemos
- Confirmamos la recepción en un máximo de 3 días hábiles.
- Te enviamos una primera evaluación en un máximo de 10 días hábiles.
- Te mantenemos informado hasta que el problema esté resuelto.
- Te reconocemos el hallazgo, si así lo quieres.
Dentro del alcance
sealambda.com, y los servicios y aplicaciones que opera Sealambda.
Fuera del alcance
- Plataformas de terceros con las que nos integramos, como Meta y nuestros proveedores cloud. Comunícaselo directamente a ellos.
- Los sistemas propios de nuestros clientes.
- Ingeniería social y ataques físicos.
- Denegación de servicio y spam.
- Resultados de escáneres automáticos, o cabeceras ausentes, sin un impacto demostrado.
Reglas
- Haz pruebas solo con cuentas propias.
- No accedas a datos de otros clientes o usuarios más allá del mínimo necesario para demostrar el problema.
- No interrumpas nuestros servicios.
- Deja pasar 90 días desde tu informe antes de cualquier divulgación pública.
Puerto seguro
La investigación de buena fe que sigue estas reglas está autorizada. No emprenderemos acciones legales contra ti por ella.
Recompensas
Ahora mismo no tenemos un programa de recompensas (bug bounty) remunerado.
Última actualización: