Divulgación responsable
Última actualización: 20 de octubre de 2026
1. Introducción
Las personas nos confían sus propios datos, su letra y los nombres y direcciones de aquellos a quienes escriben. Si crees que has encontrado una vulnerabilidad de seguridad en Snailgram, queremos saberlo. Esta política explica cómo informar de una, las reglas que te pedimos que sigas mientras investigas y qué haremos nosotros a cambio.
La publica AWS, CYY & Co. Pty Ltd (ACN 686 116 245) como fiduciario de Mumu, Lulu & Co. (ABN 54 837 123 965), que gestiona Snailgram.
No tenemos un programa de recompensas por errores y no pagamos recompensas por los informes. Con tu permiso, te daremos las gracias por tu nombre en esta página cuando el problema esté resuelto.
2. Alcance
Esta política abarca:
- nuestro sitio web en snailgram.com.au, incluidos el estudio de tarjetas y el proceso de pago,
- los servicios que lo respaldan, que crean portadas, almacenan diseños y muestras de letra y gestionan pedidos, y
- los correos electrónicos que enviamos sobre los pedidos.
No abarca los servicios gestionados por terceros que utilizamos, como Square, Australia Post, Amazon Web Services, Fastmail o Google. Informa de los problemas en esos servicios al proveedor correspondiente.
3. Cómo informar
Escribe a support@snailgram.com.au con "Security" en el asunto. Incluye, por favor:
- una descripción del problema y del impacto que crees que tiene,
- la página, el punto de acceso o la función afectados,
- instrucciones paso a paso para reproducirlo, con cualquier código de prueba de concepto, capturas de pantalla o solicitudes, y
- cómo podemos contactar contigo y si te gustaría que te diéramos las gracias por tu nombre.
Si encuentras una clave, contraseña u otro secreto expuesto, avísanos de inmediato y no lo utilices. Si puedes, escribe en inglés.
4. Qué te pedimos
Al buscar y notificar una vulnerabilidad, debes:
- probar solo con pedidos, diseños y muestras de letra que sean tuyos o que tengas permiso del propietario para usar,
- parar en cuanto llegues a información personal, mensajes, direcciones o letra que no sean tuyos y decirnos a qué has accedido. No los copies, conserves, modifiques ni elimines, ni los compartas con nadie,
- no degradar ni interrumpir el sitio, incluso mediante ataques de denegación de servicio, pruebas de carga o análisis automatizados de gran volumen,
- no pedir tarjetas para nadie sin su consentimiento, ni contactar con nuestros clientes, con las personas a las que escriben ni con nuestro equipo,
- no usar ingeniería social, phishing ni ataques físicos contra nuestro equipo, instalaciones o proveedores,
- no usar la tarjeta de pago ni los datos de otra persona,
- hacer solo lo necesario para demostrar que la vulnerabilidad existe,
- mantener los detalles confidenciales hasta que hayamos resuelto el problema o hasta 90 días después de tu informe, lo que ocurra antes, salvo que acordemos otra cosa contigo, y
- cumplir la ley.
5. Qué haremos nosotros
Cuando informes de una vulnerabilidad conforme a esta política, nosotros:
- acusaremos recibo de tu informe en un plazo de 2 días laborables,
- te diremos si podemos reproducir el problema y te mantendremos al tanto de nuestros avances,
- procuraremos corregir una vulnerabilidad confirmada en un plazo de 90 días, y antes cuando ponga en riesgo información personal, y
- te avisaremos cuando el problema esté resuelto y te daremos las gracias por tu nombre si nos lo has pedido.
Si el problema afectó a información personal, lo evaluaremos y lo notificaremos a las personas afectadas y a la Office of the Australian Information Commissioner (Oficina del Comisionado de Información de Australia), como describe la sección 11 de nuestra política de privacidad.
6. Puerto seguro
Si actúas de buena fe y sigues esta política, consideraremos tu investigación como autorizada, no emprenderemos acciones legales contra ti por ella y no te denunciaremos a las fuerzas del orden. Si otra persona emprende acciones legales contra ti por una investigación que siguió esta política, daremos a conocer que la autorizamos.
Esto no se aplica si has incumplido esta política, has accedido a más de lo necesario o has pedido un pago a cambio de no divulgar un problema. Si no estás seguro de si algo que planeas hacer está permitido, pregúntanos antes en support@snailgram.com.au.
7. Qué no consideramos una vulnerabilidad
Lo siguiente queda, por lo general, fuera de esta política, salvo que puedas demostrar un impacto real en la seguridad del sitio o de las personas que lo usan:
- informes de escáneres automatizados sin una prueba de concepto que funcione,
- la falta de cabeceras de seguridad, indicadores de cookies o registros de autenticación de correo (SPF, DKIM, DMARC) por sí solos,
- clickjacking en páginas sin ninguna acción que pueda causar daño,
- self-XSS, o problemas que requieran acceso físico al dispositivo desbloqueado de alguien,
- conseguir que el generador de portadas cree una imagen inesperada o inadecuada, salvo que exponga datos de otra persona o eluda el pago,
- la divulgación de versiones de software o la falta de límites de frecuencia en acciones sin consecuencias de seguridad, y
- la denegación de servicio y las vulnerabilidades de los servicios de terceros enumerados en la sección 2.
8. Cambios en esta política
Podemos cambiar esta política publicando una nueva versión en esta página y actualizando la fecha de la parte superior. La versión publicada cuando haces un informe se aplica a ese informe.