Política de seguridad

Última actualización: 5 de junio de 2026

Nos tomamos en serio la seguridad de Gianna y los datos confiados a ella. Este documento explica cómo comunicar una vulnerabilidad y qué respuesta esperar.

Gianna es una asistente católica del hogar disponible por Telegram y en la aplicación web de gianna.chat. Es software propietario (consulta LICENSE); esta política trata la divulgación coordinada de problemas de seguridad, sin conceder derechos sobre el código.

Comunicar una vulnerabilidad

Si crees haber encontrado una vulnerabilidad, comunícala en privado. No abras una incidencia pública, la publiques ni la compartas con otros antes de que podamos abordarla.

Escribe a security@gianna.chat con:

• Una descripción clara del problema y su posible impacto.
• Pasos para reproducirlo, incluidas pruebas de concepto, solicitudes o cargas útiles.
• El componente, ruta o URL afectados, cuando corresponda.
• Tu nombre o alias si quieres que se te reconozca.

Si quieres enviar datos sensibles, indícalo en el primer mensaje y prepararemos un canal cifrado.

Nuestro compromiso

• Procuramos acusar recibo en 3 días laborables.
• Daremos una valoración inicial con gravedad y plazo probable en 10 días laborables.
• Te mantendremos informado mientras buscamos una solución y te avisaremos cuando se resuelva.
• Con tu permiso, podemos reconocer tu aportación cuando se corrija el problema.

Alcance

Incluido:

• La aplicación web y API de Gianna en gianna.chat.
• La integración de Telegram.
• Autenticación, gestión de sesiones, facturación y controles de acceso a datos.

Fuera del alcance (no comuniques ni pruebes estos casos):

• Servicios de terceros de los que dependemos, como Telegram, nuestro proveedor de modelos, Stripe o PostHog. Comunica los problemas de esos productos a sus proveedores.
• Pruebas de denegación de servicio, volumétricas o de fuerza bruta.
• Ingeniería social, phishing o ataques físicos contra nosotros, empleados o usuarios.
• Informes basados solo en resultados de escáneres automáticos sin impacto demostrado.
• Cabeceras de seguridad ausentes o recomendaciones de buenas prácticas sin impacto explotable (se agradecen, pero se consideran informativas).

Pruebas responsables

Al investigar:

• Prueba solo tu cuenta y datos; nunca accedas, modifiques ni destruyas datos de otros hogares.
• Detente en cuanto hayas demostrado la vulnerabilidad y no profundices más de lo necesario para probar el impacto.
• Evita vulnerar la privacidad, interrumpir el servicio o realizar acciones que puedan perjudicar a los usuarios.
• Danos una oportunidad razonable de corregir el problema antes de cualquier divulgación pública.

No emprenderemos ni apoyaremos acciones legales contra investigadores que actúen de buena fe y sigan esta política.

Cómo protegemos tus datos

Algunas medidas incorporadas a Gianna:

• Las contraseñas usan hash argon2; nunca las guardamos en texto legible.
• El acceso autenticado usa tokens JWT firmados; la aplicación rechaza iniciar con un secreto predeterminado fuera del modo simulado.
• Todo el tráfico usa TLS.
• Los mensajes entrantes de los canales tienen remitente verificado: el hogar se resuelve desde la identidad verificada por el canal, nunca desde datos proporcionados por el cliente, impidiendo el acceso entre hogares (sin IDOR).
• En producción, CORS se limita al origen propio de la aplicación.
• Para evitar el uso silencioso de integraciones no verificadas, la aplicación rechaza arrancar en modo real salvo que las credenciales reales estén bien configuradas.

Para conocer cómo recogemos y tratamos datos personales, consulta la Política de privacidad. Para las condiciones de uso del Servicio, consulta los Términos del servicio.

Contacto

Informes de seguridad: security@gianna.chat Consultas generales: hello@gianna.chat