Seguridad y Divulgación Responsable

1. Objeto y Ámbito de Aplicación

1.1 La presente Política de Seguridad y Divulgación Responsable describe las medidas de seguridad que el Titular aplica a la Plataforma, las obligaciones de seguridad del Usuario, el procedimiento de comunicación de vulnerabilidades por parte de Terceros y el régimen de los incidentes de seguridad.

1.2 El presente documento obliga al Titular, a los Usuarios y a toda persona que comunique una vulnerabilidad conforme a la cláusula 4, y rige desde la fecha de su última actualización consignada al pie del presente documento.

1.3 Los términos con mayúscula inicial no definidos en el presente documento tendrán el significado que se les atribuye en los Términos y Condiciones y en la Política de Privacidad. El presente documento desarrolla la cláusula 11 de la Política de Privacidad.

2. Medidas de Seguridad

2.1 De conformidad con lo dispuesto en el artículo 9 de la Ley N° 25.326 de Protección de los Datos Personales (en adelante, "LPDP"), el Titular aplica las siguientes medidas técnicas y organizativas:

(a) cifrado de todas las comunicaciones entre el navegador del Usuario y la Plataforma mediante el protocolo HTTPS, con política de transporte estricto (HSTS);

(b) política de seguridad de contenido (CSP) que restringe los orígenes autorizados de scripts, estilos, conexiones y marcos;

(c) políticas de seguridad a nivel de fila en la Base de Datos, que limitan el acceso de cada Cuenta a sus propios datos;

(d) autenticación delegada en Google LLC, sin almacenamiento de contraseñas por parte del Titular;

(e) verificación de la sesión del Usuario en el servidor con carácter previo a toda lectura o modificación de datos de la Cuenta;

(f) limitación de la frecuencia de solicitudes en los formularios y en los servicios expuestos a abuso;

(g) almacenamiento de las credenciales de los Proveedores en variables de entorno, fuera del código fuente;

(h) delegación del procesamiento de los medios de pago en Mercado Pago, de modo que el Titular no accede a los datos de las tarjetas.

2.2 La obligación de seguridad del Titular es de medios reforzada, conforme a la cláusula 11.1 de la Política de Privacidad. El Titular no cuenta, a la fecha de la presente versión, con certificaciones de seguridad de la información ni con auditorías externas periódicas.

2.3 El Titular deberá revisar las medidas de la cláusula 2.1 al menos una (1) vez cada doce (12) meses y cada vez que se produzca un incidente de seguridad, y adecuarlas al estado de la técnica.

3. Obligaciones del Usuario

3.1 El Usuario deberá:

(a) mantener la seguridad de su cuenta de Google LLC, incluida la activación de la verificación en dos pasos ofrecida por dicho Tercero;

(b) cerrar la sesión en los dispositivos que no sean de su uso exclusivo;

(c) comunicar al Titular todo acceso no autorizado a su Cuenta conforme a la cláusula 3.5 de los Términos y Condiciones;

(d) abstenerse de difundir Enlaces Compartidos que contengan información que no desee hacer accesible a Terceros, conforme a la cláusula 8.3 de los Términos y Condiciones.

4. Programa de Divulgación Responsable

4.1 Alcance

4.1.1 Se encuentran dentro del alcance del programa la Plataforma, el dominio pragma.investments y sus rutas.

4.1.2 Se encuentran excluidos del alcance: (a) los servicios de los Proveedores, incluidos Google LLC, Supabase Inc., Vercel Inc. y Mercado Pago, que cuentan con programas propios; (b) los ataques de denegación de servicio; (c) la ingeniería social dirigida al Titular, a los Usuarios o a los Proveedores; (d) el envío de comunicaciones no solicitadas; y (e) los reportes generados por herramientas automatizadas sin demostración de un impacto concreto.

4.2 Forma de comunicación

4.2.1 La vulnerabilidad deberá comunicarse mediante el formulario habilitado al pie del presente documento o por correo electrónico a help.pragma@gmail.com con la referencia "[SEGURIDAD]". El canal se publica, además, en el archivo /.well-known/security.txt conforme a la especificación RFC 9116 del Internet Engineering Task Force.

4.2.2 La comunicación deberá indicar la dirección web o el componente afectado, la descripción de la vulnerabilidad, su impacto y los pasos necesarios para reproducirla.

4.3 Reglas de conducta

4.3.1 Quien investigue la Plataforma deberá:

(a) realizar las pruebas exclusivamente sobre Cuentas propias o creadas a tal efecto;

(b) abstenerse de acceder, modificar, copiar o suprimir Datos Personales o Contenido del Usuario de otros Usuarios y, si accediera a ellos de forma incidental, interrumpir de inmediato la investigación, no conservarlos y comunicarlo al Titular;

(c) abstenerse de degradar el funcionamiento de la Plataforma;

(d) mantener la confidencialidad de la vulnerabilidad conforme a la cláusula 4.5.

4.4 Plazos

4.4.1 La Plataforma emitirá un número de caso en el momento de la recepción de la comunicación. El Titular deberá comunicar al investigador una evaluación inicial dentro de los diez (10) días hábiles contados desde la recepción, e informarle la corrección de la vulnerabilidad dentro de los cinco (5) días hábiles contados desde que esta se produzca.

4.5 Confidencialidad

4.5.1 El investigador deberá mantener la vulnerabilidad en reserva hasta la comunicación de su corrección o hasta el vencimiento del plazo de noventa (90) días corridos contados desde la recepción de la comunicación, lo que ocurra primero. Las partes podrán acordar por escrito la prórroga de dicho plazo.

4.6 Puerto seguro

4.6.1 El Titular considerará autorizada la investigación realizada de buena fe y de conformidad con las cláusulas 4.1 a 4.5. Respecto de dicha investigación, el Titular se obliga a no promover acciones civiles ni penales contra el investigador y, en caso de que un Tercero las promoviera, a manifestar ante la autoridad competente que la investigación se encontraba autorizada.

4.7 Reconocimiento

4.7.1 El programa no prevé recompensas dinerarias. El Titular podrá reconocer públicamente al investigador, con su consentimiento previo y expreso.

5. Incidentes de Seguridad

5.1 El régimen de los incidentes de seguridad que afecten Datos Personales, incluidos la notificación a los Interesados dentro de las setenta y dos (72) horas contadas desde que el Titular tome conocimiento del incidente y la comunicación a la Autoridad de Control, se rige por la cláusula 11.2 de la Política de Privacidad.

5.2 Ante un incidente que no afecte Datos Personales pero comprometa la disponibilidad de la Plataforma, se aplica la cláusula 19 de los Términos y Condiciones.

6. Fallas de Proveedores

6.1 Si un Proveedor comunicara un incidente de seguridad que afecte Datos Personales tratados por cuenta del Titular, el Titular deberá proceder conforme a la cláusula 11.2 de la Política de Privacidad desde que reciba dicha comunicación y evaluar la sustitución del Proveedor conforme a la cláusula 17.2 de la Política de Privacidad.

7. Modificaciones

7.1 La modificación del presente documento se rige por la cláusula 21 de los Términos y Condiciones. La reducción de las medidas de seguridad de la cláusula 2.1 tiene carácter sustancial.