Seguridad en Opami
Versión 2026-09-26
Cómo comunicar una vulnerabilidad
Escribe a security@opami.ai. Cuéntanos qué has encontrado, cómo reproducirlo y qué podría hacer un atacante con ello. Basta con un correo normal; no exigimos cifrado.
Qué puedes esperar
- Confirmamos la recepción de tu informe en un plazo de 3 días naturales.
- Te damos una primera valoración en un plazo de 10 días naturales.
- Corregimos el problema, o te damos un plan con fecha para corregirlo, en un plazo de 14 días naturales.
Te responderemos por correo y te avisaremos cuando esté corregido. Si quieres, te mencionamos por tu nombre.
Protección legal (safe harbour)
No emprenderemos acciones legales, civiles ni penales, contra un investigador que nos comunique una vulnerabilidad de buena fe. Esto se aplica bajo cuatro condiciones:
- te mantienes dentro del alcance descrito más abajo;
- no accedes a datos de otras personas, ni los modificas, los extraes o los conservas;
- no degradas el servicio;
- nos lo comunicas en privado antes de cualquier divulgación.
Esta protección no alcanza a quien actúe de mala fe.
Dentro y fuera de alcance
- Dentro de alcance: opami.ai, www.opami.ai, app.opami.ai, admin.opami.ai, la API pública (/api/*) y el servidor MCP.
- Fuera de alcance: hallazgos sobre nuestros propios proveedores (comunícaselos a ellos), cabeceras de seguridad ausentes sin impacto demostrado, resultados de escáneres automáticos sin una prueba que funcione e ingeniería social.
Sin recompensas por errores
Hoy no pagamos por los informes. Lo decimos claro para que nadie dedique un fin de semana esperando una recompensa.
Si tenemos un incidente
Investigamos en cuanto lo sabemos, contenemos primero el problema e informamos a las personas afectadas. Cuando la ley lo exige, notificamos a la autoridad de control portuguesa (CNPD) en un plazo de 72 horas desde que tenemos conocimiento y, sin dilación indebida, a los usuarios afectados cuando el riesgo para ellos es alto. Publicamos lo ocurrido una vez contenido. El aviso de privacidad explica cómo tratamos los datos personales.
Contacto
security@opami.ai para seguridad, privacy@opami.ai para solicitudes de protección de datos, hello@opami.ai para todo lo demás. Responsable del tratamiento: Precious Episode LDA, NIF PT514701617, Portugal.
En caso de discrepancia entre traducciones, prevalece la versión en inglés.