English
Italiano
Español
Français
Deutsch
Português
ไทย
日本語
Última actualización: 25 de octubre de 2026 (versión 1.1).
1. Finalidad
GlobeID Limited ("GlobeID") opera la plataforma PassportScan, que trata datos de identidad de huéspedes de hoteles por cuenta de proveedores de alojamiento. Valoramos el trabajo de los investigadores de seguridad y deseamos conocer cualquier vulnerabilidad que pueda poner en riesgo dichos datos, a nuestros clientes o a nuestros usuarios.
Esta política explica cómo comunicarnos una vulnerabilidad de seguridad, qué puede esperar de nosotros y las reglas aplicables durante las pruebas. Esta política respalda el sistema de gestión de seguridad de la información de GlobeID (controles A.5.7 Inteligencia de amenazas y A.8.8 Gestión de las vulnerabilidades técnicas de la norma ISO/IEC 27001:2022).
2. Alcance
Dentro del alcance
- Las aplicaciones web y las API de PassportScan Cloud publicadas en
app.passportscan.net,api.passportscan.net,workspace.passportscan.net,distributor.passportscan.netyselfcheckin.passportscan.net - Las aplicaciones móviles de PassportScan publicadas por GlobeID en Apple App Store y Google Play
- El flujo web de auto check-in de PassportScan utilizado por los huéspedes
- El sitio web público
https://www.passportscan.net
Fuera del alcance
- Sistemas operados por terceros (consolas de proveedores de servicios en la nube, proveedor de pagos, proveedor de identidad, sistemas de gestión hotelera integrados por los clientes)
- La infraestructura de VPN (incluido
vpn.passportscan.net) y cualquier nombre de host de uso exclusivamente interno bajopassportscan.netque no figure dentro del alcance - Dispositivos, redes e instalaciones locales propiedad de los clientes
- Ingeniería social, phishing o ataques físicos contra el personal, los contratistas o los clientes de GlobeID
- Pruebas de denegación de servicio o de agotamiento de recursos de cualquier tipo
- Escaneos automatizados que generen grandes volúmenes de tráfico (nuestra infraestructura perimetral limita la tasa de peticiones y bloquea las fuentes abusivas)
- Hallazgos que solo afecten a navegadores obsoletos o que requieran un dispositivo comprometido
- Informes sobre la ausencia de cabeceras recomendadas como buenas prácticas, la configuración de SPF/DMARC o la divulgación de versiones sin un impacto demostrado
3. Cómo informar
Envíe su informe a security@passportscan.net. Incluya, por favor:
- una descripción de la vulnerabilidad y del componente afectado (URL, versión de la aplicación, punto de conexión)
- instrucciones paso a paso para reproducirla, con peticiones/respuestas o capturas de pantalla cuando resulten útiles
- su evaluación del impacto
- la forma en que podemos contactarle para el seguimiento (se aceptan informes anónimos)
Si el informe contiene datos personales de huéspedes o clientes, envíe únicamente el mínimo necesario para demostrar el problema y elimine toda copia una vez que confirmemos la recepción.
En https://www.passportscan.net/.well-known/security.txt (RFC 9116) se publica una referencia legible por máquina a esta política.
4. Qué puede esperar de nosotros
| Fase | Nuestro compromiso |
|---|---|
| Acuse de recibo | Dentro de los 3 días hábiles siguientes a la recepción |
| Evaluación inicial y de gravedad | Dentro de los 10 días hábiles, utilizando CVSS v3.1 como referencia |
| Actualizaciones de estado | Al menos cada 30 días mientras el problema permanezca abierto |
| Plazos objetivo de corrección | Crítica: 72 horas (mitigación en un plazo de 24 horas) · Alta: 14 días · Media: 60 días · Baja: 180 días |
| Cierre | Confirmamos la corrección con usted antes de cerrar el informe |
Cuando una vulnerabilidad dé lugar, o sea probable que dé lugar, a una violación de la seguridad de los datos personales, GlobeID seguirá su Procedimiento de Respuesta a Incidentes y Violaciones de Seguridad de Datos, incluida la notificación a los clientes afectados (responsables del tratamiento) sin dilación indebida y a la autoridad de control en un plazo de 72 horas cuando lo exija el art. 33 del RGPD.
5. Reglas de actuación (puerto seguro)
No emprenderemos acciones legales, ni le denunciaremos ante las autoridades policiales, por investigaciones de seguridad que cumplan con esta política. A cambio, le pedimos que:
- actúe de buena fe y evite violaciones de la privacidad, la destrucción de datos y la interrupción del servicio
- detenga las pruebas e informe de inmediato en cuanto encuentre datos personales (documentos de identidad, registros de huéspedes); no los descargue, almacene ni comparta
- utilice únicamente cuentas de su propiedad o cuyo uso le haya sido expresamente autorizado; no intente acceder a los datos de otros clientes
- no explote una vulnerabilidad más allá de lo necesario para demostrarla (sin pivotaje, persistencia ni movimiento lateral)
- no realice pruebas de denegación de servicio, de fuerza bruta ni de spam
- mantenga la confidencialidad de los detalles de la vulnerabilidad hasta que la hayamos corregido y hayamos acordado la divulgación
El entorno de producción de GlobeID está monitorizado (cortafuegos de aplicaciones web, registro de peticiones y alertas). Las pruebas que incumplan estas reglas podrán ser bloqueadas automáticamente y tratadas como un ataque.
6. Divulgación coordinada
Solicitamos un plazo de 90 días desde el acuse de recibo antes de cualquier divulgación pública, prorrogable de mutuo acuerdo cuando la corrección requiera coordinación con un tercero (por ejemplo, la publicación en una tienda de aplicaciones móviles o una integración de un cliente). Con mucho gusto reconoceremos el mérito de los investigadores en nuestras notas de versión, previa solicitud.
7. Reconocimiento
GlobeID no gestiona actualmente un programa remunerado de recompensas por errores (bug bounty). Reconocemos públicamente los informes válidos (con su consentimiento) y podemos, a nuestra discreción, ofrecer una muestra de agradecimiento por hallazgos de alto impacto.
8. Nuestra propia gestión de vulnerabilidades
Con independencia de los informes externos, GlobeID:
- analiza cada imagen de contenedor en busca de vulnerabilidades conocidas cuando se sube al registro de imágenes, y revisa las dependencias de terceros como parte del proceso de publicación
- aplica una política de aplicación de parches basada en el riesgo con los objetivos de corrección establecidos en la sección 4
- encarga periódicamente pruebas de penetración independientes de la plataforma
- registra todos los hallazgos en su registro de vulnerabilidades, revisado por el Responsable de Seguridad de la Información
9. Contacto
Informes de seguridad: security@passportscan.net Asuntos de privacidad: privacy@passportscan.net Entidad jurídica: GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Irlanda (CRO 559612)
