POLÍTICA DE GESTIÓN Y DIVULGACIÓN DE VULNERABILIDADES
Versione / Versión / Version 2026-10-26.1 · In vigore dal / Vigente desde / Effective from 2026-10-26
1. Ámbito. Esta política se aplica a los productos de software de INFOKRAUSE S.R.L. con Socio Unico, C.F. y P. IVA 04126260928 («INFOKRAUSE»): IKFace (Edge y Server), IKCount, IKVisitor, sus módulos, el Portal de Clientes y los portales de partners. Aplica el Reglamento (UE) 2024/2847 (Cyber Resilience Act).
2. Cómo informar. Envíe los informes a security@infokrause.com indicando: producto y versión, descripción e impacto, pasos para reproducirlo, prueba de concepto si la hay y un contacto. Se aceptan informes en italiano, español o inglés. No incluya más datos personales de terceros de los estrictamente necesarios.
3. Nuestros compromisos. INFOKRAUSE acusa recibo en 5 días hábiles, evalúa el informe, comunica al informante el resultado y los plazos previstos y corrige las vulnerabilidades confirmadas sin demoras injustificadas, dando prioridad a las explotadas activamente o de gravedad alta. Con el consentimiento del informante, lo reconoce públicamente en el aviso de seguridad.
4. Divulgación coordinada. Pedimos no divulgar la vulnerabilidad hasta que exista una corrección o, como máximo, 90 días después del informe, salvo otro acuerdo. Tras la corrección, INFOKRAUSE publica un aviso de seguridad con los productos y versiones afectados, la gravedad y las medidas que hay que adoptar.
5. Investigación de buena fe. INFOKRAUSE no emprenderá acciones legales contra quien, de buena fe: pruebe solo en instalaciones propias o en la demo; no acceda, modifique ni conserve datos de clientes o de terceros más allá del mínimo para demostrar el problema y los borre de inmediato; no interrumpa los servicios (sin denegación de servicio, spam ni ingeniería social); e informe con prontitud respetando el punto 4. Esta política no autoriza a probar instalaciones de clientes, que les pertenecen a ellos.
6. Actualizaciones de seguridad y clientes. Las correcciones se distribuyen como actualizaciones a través del Portal de Clientes de ikface.net, separadas cuando sea posible de las actualizaciones funcionales, y siguen disponibles durante el periodo de soporte previsto en la EULA (cláusula 10). INFOKRAUSE informa a los clientes afectados y, a través de los distribuidores, a los atendidos por estos, de las vulnerabilidades explotadas activamente y de los incidentes graves, y de las medidas que deben adoptar.
7. Notificaciones a las autoridades. Conforme al art. 14 del Reglamento (UE) 2024/2847, INFOKRAUSE notifica las vulnerabilidades explotadas activamente y los incidentes graves que afectan a la seguridad de sus productos mediante la plataforma única de notificación de ENISA, al CSIRT del Estado de su establecimiento principal (Italia).
8. Contacto. security@infokrause.com (seguridad) · info@infokrause.com (otras consultas). INFOKRAUSE puede actualizar esta política; la versión vigente se publica en ikface.net. El texto se redacta en italiano, español e inglés; prevalece el italiano.