Política de divulgación de vulnerabilidades

Bailar, Inc., una sociedad de Delaware (sucesora por conversión estatutaria, con efecto a partir del 4 de mayo de 2026, de Bailar LLC, una sociedad de responsabilidad limitada de Florida) (“Bailar,” “nosotros,” “nos” o “nuestro”) se toma en serio la seguridad de sus usuarios y Estudios. Damos la bienvenida a los reportes de investigadores de seguridad sobre vulnerabilidades potenciales en la aplicación móvil de Bailar, el sitio web en bailar.site, el panel de Estudios en bailar.site/manage y nuestras superficies de API públicas (colectivamente, los “activos dentro del alcance”).

Esta Política es el recurso canónico al que hace referencia nuestro archivo security.txt conforme al RFC 9116.

1. COMPROMISO DE PUERTO SEGURO

Si haces un esfuerzo de buena fe por cumplir con esta Política al reportarnos una vulnerabilidad, Bailar no emprenderá, respaldará ni recomendará una acción civil o penal en tu contra derivada de tu investigación de seguridad. Consideramos que las actividades realizadas de forma coherente con esta Política son conducta “autorizada” conforme a las leyes aplicables sobre uso indebido de computadoras (incluyendo 18 U.S.C. § 1030, leyes estatales similares y la Florida Computer Crimes Act). En la medida en que tu investigación toque la propiedad o los derechos de un tercero que no está bajo nuestro control (por ejemplo, uno de nuestros subencargados), nuestro compromiso de puerto seguro no vincula a ese tercero; tú sigues siendo responsable de cumplir con la ley pertinente y con el programa propio de ese tercero.

Si no estás seguro de si una actividad de prueba planeada es coherente con esta Política, contáctanos en [email protected] antes de proceder; trabajaremos contigo de buena fe.

2. ACTIVOS DENTRO DEL ALCANCE

Los siguientes activos controlados por Bailar están dentro del alcance para pruebas conforme a esta Política:

(a) la aplicación móvil de Bailar en iOS (Apple App Store, identificador de bundle com.paulplawin.bailar) y Android (Google Play, paquete com.bailarllc.bailar);
(b) el sitio web público en https://bailar.site y todas las subrutas bajo él, incluyendo el panel de Estudios en https://bailar.site/manage y el panel de Staff en https://bailar.site/staff;
(c) los endpoints públicos REST y RPC expuestos bajo https://bailar.site/api/ y los endpoints REST, RPC y de autenticación alojados en Supabase del proyecto de producción de Bailar (pero no la consola ni la infraestructura de plataforma propias de Supabase, que están fuera del alcance conforme a la Sección 3(a));
(d) el endpoint .well-known/security.txt y cualquier otro metadato del RFC 9116; y
(e) los subdominios de bailar.site controlados por Bailar que no estén explícitamente fuera del alcance conforme a la Sección 3.

3. ACTIVOS Y ACTIVIDAD FUERA DEL ALCANCE

Lo siguiente está fuera del alcance conforme a esta Política. Probarlo no está autorizado y no podemos ofrecer protección de puerto seguro al respecto:

(a) Infraestructura de terceros que no operamos — incluyendo la consola de Supabase, la consola de Vercel, el panel de Stripe, el edge de Cloudflare, los servidores de Apple App Store, los servidores de Google Play, Twilio, Resend, RevenueCat, Sentry, PostHog y nuestros demás subencargados; reporta al programa propio de cada proveedor si encuentras un problema allí;
(b) Pruebas de denegación de servicio (DoS) y de denegación de servicio distribuida (DDoS), fuzzing a gran escala, fuerza bruta automatizada contra endpoints de autenticación, o cualquier prueba que degrade de forma material la disponibilidad para otros usuarios;
(c) Pruebas de seguridad física, ingeniería social del personal de Bailar, de usuarios o de operadores de Estudios, campañas de phishing o pretexting;
(d) Spam, tráfico masivo difamatorio o no solicitado, y cualquier prueba que use las superficies de mensajería o de notificaciones para enviar contenido a otros usuarios;
(e) Uso de CSAM, imágenes sexualizadas de menores o cualquier contenido prohibido por las Normas de Seguridad Infantil;
(f) Hallazgos que dependan de exfiltrar datos de otros usuarios; demuestra el problema con tu propia cuenta de prueba y los datos mínimos necesarios para probar el hallazgo;
(g) Reportes basados únicamente en fuentes públicas o escáneres — por ejemplo, un encabezado de seguridad faltante en un endpoint de bajo impacto, un cifrado TLS débil ya deprecado por el proveedor de nube, o una divulgación de información sobre el framework de compilación — sin una demostración concreta de impacto; y
(h) Hallazgos en cualquier equipo de desarrollo, compilación o prueba de Bailar que no esté expuesto a Internet público.

4. REGLAS DE PARTICIPACIÓN

4.1 Usa tus propias cuentas de prueba. No intentes acceder, ver ni descargar datos que pertenezcan a otros usuarios o Estudios; si accedes de forma incidental a dichos datos, detente de inmediato, no los compartas e infórmanos como parte de tu reporte.

4.2 Haz un esfuerzo de buena fe por evitar violaciones de privacidad, destrucción de datos, degradación del servicio e interrupción de las operaciones del negocio. Detén las pruebas y notifícanos tan pronto como hayas demostrado el impacto.

4.3 No modifiques, elimines, cifres ni exfiltrés datos. No intentes mantener el acceso (no instales una puerta trasera, persistencia ni un implante).

4.4 No realices pruebas contra cuentas de Stripe de producción, flujos de KYC ni nada que pueda afectar los pagos de un Anfitrión.

4.5 No divulges públicamente la vulnerabilidad hasta que hayamos confirmado la remediación, o hasta que hayan transcurrido noventa (90) días desde tu reporte, lo que ocurra primero — salvo que acordemos mutuamente un plazo diferente.

5. CÓMO REPORTAR

Escribe a [email protected] con el asunto “Vulnerability report — [brief title]”. Si necesitas compartir detalles sensibles por un canal cifrado, indícalo en tu primer correo y coordinaremos uno contigo.

Incluye en tu reporte:

(a) una descripción clara de la vulnerabilidad y del impacto en la confidencialidad, integridad o disponibilidad de los datos;
(b) las URL, endpoints, pantallas de la aplicación o versiones de la plataforma afectadas, con la marca de tiempo de las pruebas;
(c) pasos reproducibles, incluyendo cualesquiera payloads, cuerpos de solicitud o capturas de pantalla necesarios;
(d) cuando aplique, tu remediación o mitigación sugerida;
(e) si has informado a algún tercero del problema; y
(f) cómo te gustaría que se te acreditara si deseas crédito público (un nombre, un handle o de forma anónima).

6. SLA DE RESPUESTA

Procuramos:

(a) acusar recibo de tu reporte dentro de dos (2) días hábiles;
(b) proporcionar una clasificación preliminar y aceptar, formular preguntas de seguimiento o cerrar como fuera de alcance dentro de siete (7) días hábiles;
(c) comunicar un plan de remediación y un plazo objetivo para los problemas aceptados; y
(d) mantenerte informado en los hitos materiales hasta que el problema se resuelva.

7. RECONOCIMIENTO Y RECOMPENSA

Bailar no opera actualmente un programa pago de recompensas por errores. Para los reportes aceptados ofrecemos:

(a) reconocimiento público en un Salón de la Fama en esta página (con tu consentimiento y el nombre elegido);
(b) un paquete de merchandising de Bailar (cuando el envío sea viable); y
(c) crédito en cualquier registro de cambios o post-mortem asociado que publiquemos.

Podemos, a nuestra entera discreción, ofrecer una recompensa monetaria discrecional por reportes excepcionales. Esta Política no crea ningún derecho a una recompensa.

8. CAMBIOS A ESTA POLÍTICA

Podemos actualizar esta Política cada cierto tiempo. Los reportes realizados conforme a una versión anterior siguen rigiéndose por la versión vigente en la fecha del reporte.

SALÓN DE LA FAMA

Los investigadores reconocidos por reportes aceptados se listan aquí a medida que se acumulan. La lista está actualmente vacía — ayúdanos a iniciarla.

CONTACTO

Bailar, Inc.
Attn: Security
9805 Fosbak Dr
Vienna, VA 22182
United States
[email protected]