Esta es una traducción automática. La versión neerlandesa es la jurídicamente vinculante.

Versión 1.0

24werk.com concede gran importancia a la seguridad de sus sistemas, usuarios y datos personales. A pesar del cuidado dedicado a la seguridad, puede ocurrir que se descubra una vulnerabilidad. Con la presente Política de divulgación responsable y de seguridad, 24werk.com ofrece a los investigadores de seguridad, usuarios y demás partes implicadas la posibilidad de comunicar vulnerabilidades de forma responsable. La finalidad de esta política es mejorar la seguridad de la plataforma y proteger a candidatos, empresas y demás usuarios.

Artículo 1 – Finalidad de esta política

1. Esta política tiene por finalidad identificar y resolver los problemas de seguridad de forma responsable.
2. 24werk.com fomenta la comunicación de vulnerabilidades.
3. Los comunicantes que actúen de buena fe no han de temer acciones legales por su comunicación, siempre que se cumpla plenamente esta política.

Artículo 2 – Ámbito de aplicación

Esta política se aplica a:

• el sitio web 24werk.com
• los subdominios de 24werk.com
• las aplicaciones web de 24werk.com
• las API de 24werk.com
• los sistemas propiedad de 24werk.com o gestionados por 24werk.com

Esta política no se aplica a los sistemas de terceros que no estén bajo el control de 24werk.com.

Artículo 3 – Comunicaciones de vulnerabilidades

Una comunicación puede referirse, entre otros, a:

• acceso no autorizado
• escalada de privilegios
• problemas de autenticación
• problemas de autorización
• brechas de datos
• inyecciones SQL
• Cross-Site Scripting (XSS)
• ejecución remota de código (RCE)
• vulnerabilidades CSRF
• errores de configuración
• fugas de información
• fallos de seguridad en las API
• otras vulnerabilidades que puedan afectar a la confidencialidad, integridad o disponibilidad

Artículo 4 – Conducta responsable

Se espera de los comunicantes que:

• actúen con esmero
• no abusen de la vulnerabilidad
• no copien ni difundan datos
• no eliminen ni modifiquen datos
• no tomen el control de cuentas
• no perturben sistemas
• no coloquen malware
• no instalen puertas traseras
• no apliquen ingeniería social

La finalidad de la investigación debe ser exclusivamente constatar y comunicar la vulnerabilidad.

Artículo 5 – Lo que no está permitido

No está permitido:

• descargar datos personales
• exportar datos de candidatos
• exportar datos de empresas
• perturbar sistemas
• realizar ataques de denegación de servicio
• realizar ataques de fuerza bruta
• realizar phishing
• tomar el control de cuentas
• divulgar públicamente vulnerabilidades antes de que se hayan resuelto

Artículo 6 – Contenido de una comunicación

Una comunicación contiene preferiblemente:

• nombre del comunicante
• datos de contacto
• fecha de descubrimiento
• descripción técnica
• análisis de impacto
• pasos reproducibles
• capturas de pantalla si procede
• una eventual solución propuesta

Cuanto más completa sea la comunicación, más rápido podrá investigarse.

Artículo 7 – Tramitación de las comunicaciones

1. 24werk.com evaluará las comunicaciones lo antes posible.
2. Si es necesario, puede solicitarse información adicional.
3. 24werk.com determina de forma independiente la prioridad de una comunicación.
4. 24werk.com puede decidir mitigar una vulnerabilidad de inmediato, protegerla temporalmente o subsanarla definitivamente.

Artículo 8 – Confidencialidad

1. Las comunicaciones se tratan de forma confidencial.

2. El comunicante no divulgará información sobre la vulnerabilidad hasta que:

• la vulnerabilidad se haya resuelto; o
• 24werk.com haya concedido autorización por escrito

3. 24werk.com también trata la información recibida de forma confidencial en la medida en que ello sea razonablemente posible.

Artículo 9 – Sin programa de recompensas

1. 24werk.com no explota actualmente ningún programa de bug bounty. 2. La comunicación de vulnerabilidades no da derecho a:

• remuneración económica
• recompensa
• compensación
• relación contractual

3. 24werk.com puede, a su propio criterio, decidir agradecer o reconocer a un comunicante.

Artículo 10 – Medidas de seguridad

24werk.com aspira a un nivel de seguridad adecuado y puede utilizar, entre otros:

• conexiones cifradas
• control de acceso
• registro (logging)
• monitorización
• mecanismos de autenticación
• actualizaciones de seguridad
• dispositivos de copia de seguridad
• detección de fraude
• análisis de seguridad

24werk.com no garantiza que los sistemas estén totalmente libres de vulnerabilidades.

Artículo 11 – Brechas de datos

1. Si una vulnerabilidad ha podido dar lugar a una brecha de datos, 24werk.com evaluará la situación conforme a la legislación de privacidad aplicable.

1. Si la ley lo exige, pueden informarse a los interesados o a las autoridades de control.
2. 24werk.com determina de forma independiente si se trata de una brecha de datos sujeta a notificación.

Artículo 12 – Responsabilidad

1. La comunicación de una vulnerabilidad no crea ninguna relación contractual entre el comunicante y 24werk.com.
2. 24werk.com no asume responsabilidad alguna por los gastos en que incurra un comunicante al realizar la investigación.
3. En la medida en que la ley lo permita, queda excluida toda responsabilidad.

Artículo 13 – Relación con otros documentos

Esta política debe leerse en relación con:

• las Condiciones generales
• las Condiciones para empresas
• las Condiciones para candidatos
• las Condiciones de entrega
• la Declaración de privacidad
• la Declaración de cookies
• el Aviso legal
• la Política de no discriminación
• el Procedimiento de notificación y retirada (Notice & Takedown)
• el Procedimiento de reclamaciones

Artículo 14 – Modificaciones

1. 24werk.com se reserva el derecho de modificar esta política.
2. La versión más actual se publica en la plataforma.
3. El uso continuado de la plataforma se considera conocimiento de las versiones modificadas.

Artículo 15 – Contacto

Las vulnerabilidades pueden comunicarse a través de: 24werk.com Correo electrónico: info@24werk.com. Las comunicaciones deben contener información suficiente para poder reproducir y evaluar la vulnerabilidad. La presente Política de divulgación responsable y de seguridad entra en vigor en la fecha de su publicación en la plataforma.