Si encontraste un fallo, preferimos saberlo por ti
Esta fundación trata datos de salud de personas en recuperación. Un fallo aquí no termina en una multa: termina en alguien identificado como consumidor de drogas ante su barrio, su empleador o su familia. Por eso un aviso tuyo vale, y por eso lo agradecemos de verdad.
Esta página es el destino que declara nuestro archivo /.well-known/security.txt, publicado en este mismo dominio.
La confidencialidad es el diseño
No pedimos confianza: publicamos cómo protegemos los datos y qué haríamos si algo fallara. Esta página es ese compromiso, por escrito.
Lo que hay al otro lado de una filtración en este sitio
Casi todas las políticas de divulgación hablan de riesgo, de exposición y de impacto. Aquí conviene ser más concreto. El daño de una filtración en esta organización no se revierte con dinero ni con tiempo: una persona señalada como consumidora de drogas ante su arrendador, su jefatura o su familia no vuelve al estado anterior porque nosotros corrijamos el sistema. La pérdida del empleo, la ruptura del vínculo familiar y la recaída son consecuencias documentadas del estigma.
Y no hace falta una ficha clínica para llegar ahí. Hoy el dato más delicado que puede existir alrededor de este sitio es la lista de quién lo visitó. Que alguien haya pedido la página de ayuda en este dominio ya es una inferencia sobre su salud. Por eso no medimos a nadie, no cargamos nada de terceros y no guardamos direcciones IP.
Un aviso tuyo llega antes que el daño. Un fallo que descubre otro, no.
Lo que sí guardamos del formulario
Que entró una consulta, con qué motivo y en qué momento. Nada más: ni el nombre, ni el correo, ni el mensaje, ni la dirección IP.
Tampoco preguntamos qué sustancia, ni el RUT, ni la edad, ni la dirección. Lo que no se pide no se puede filtrar, y esa conversación se tiene con un profesional, no en un formulario web.
Qué puedes probar y qué no
Si algo no aparece en ninguna de las dos listas, pregúntanos antes de probarlo. Preguntar no te quita el amparo de esta política; suponer, sí.
Dentro del alcance
- El sitio www.fundacionlasmercedes.com y cualquier subdominio de fundacionlasmercedes.com que sirva contenido nuestro.
- El formulario de contacto y el extremo que lo recibe: validación, antifalsificación, limitación de tasa y manejo de errores.
- Las cabeceras de seguridad de las respuestas, la política de seguridad de contenido incluida.
- Fugas de información en respuestas, mensajes de error, archivos publicados por descuido o metadatos de los recursos estáticos.
- Cualquier forma de ejecutar código en el navegador de quien nos visita, de suplantar el sitio o de redirigir a alguien fuera de él.
Fuera del alcance
- Ataques de denegación de servicio, de volumen o de agotamiento de recursos. Tumbar el sitio deja sin información a quien lo está buscando de madrugada.
- Ingeniería social al personal, a los voluntarios o a las familias. Llamar al centro haciéndose pasar por otra persona no es investigación.
- Envíos masivos o automatizados al formulario de contacto. Ese formulario es la puerta de alguien que pide ayuda.
- Todo lo que implique acceder a datos de una persona real, conservarlos, descargarlos o publicarlos, aunque el acceso sea técnicamente trivial.
- Acceder físicamente al centro, a sus oficinas o a sus dependencias. Ahí viven personas en tratamiento.
- Fallos en la infraestructura de nuestros proveedores de alojamiento o de dominio. Repórtalos a ellos por sus canales, y avísanos si nos afecta.
- Informes generados solo por un escáner automático, sin impacto demostrado ni pasos para reproducirlo.
Prueba siempre con datos tuyos. Si necesitas enviar el formulario para demostrar algo, usa tu propio nombre y tu propio correo, envía lo mínimo y dinos cuántas veces lo hiciste. Los mensajes que llegan por ese formulario los lee el mismo equipo que atiende a las familias.
Si te topas con datos de una persona real, detente ahí
Puede pasar sin que lo busques: una respuesta que devuelve de más, un archivo que no debería estar publicado, un registro que se cuela en un mensaje de error. En cuanto entiendas que lo que tienes delante identifica o puede identificar a alguien, la prueba se acabó.
Para inmediatamente
No sigas explorando para medir el alcance. Eso lo medimos nosotros. Un registro más no mejora tu reporte y sí empeora el incidente.
No descargues ni conserves
Nada de copias, capturas, exportaciones ni respaldos. Si ya guardaste algo, bórralo y cuéntanos qué borraste y de dónde.
Dilo en el reporte
Descríbelo con palabras: qué tipo de dato, cuántos registros aproximados, en qué momento. Sin adjuntar el dato. Decirlo no te perjudica: callarlo sí.
Necesitamos saberlo porque de ello depende un deber legal que no es tuyo, sino nuestro: evaluar si hubo una brecha de datos personales y, si la hubo, notificarla. No podemos evaluar lo que no sabemos. Quien nos avisa de que vio datos personales nos ayuda a cumplir; quien lo omite nos deja notificando tarde.
Cuatro pasos, y el primero es una llamada
Mientras no exista el correo del dominio, el reporte empieza por teléfono y seguimos por donde tú digas.
De tu hallazgo a nuestra corrección
Llámanos
Al +56 9 4915 6211, en horario de oficina. Di que es un problema de seguridad del sitio web y deja un número de vuelta.
Acordamos por dónde seguir
Te devolvemos la llamada desde el equipo que corresponde y acordamos contigo el canal para los detalles técnicos. No te pedimos que envíes nada antes de esa conversación.
Nos das los pasos para reproducirlo
Con el detalle de la lista de al lado. Si no logramos reproducirlo, te lo decimos y te preguntamos, no cerramos el caso en silencio.
Corregimos y te contamos
Con los plazos que están más abajo. Al cerrar te explicamos qué se cambió, y publicamos tu reconocimiento si lo pediste.
Qué información incluir
- La dirección exacta afectada, o el extremo y el método, si es una petición.
- Qué tipo de fallo crees que es y qué permite hacer, en una frase.
- Los pasos para reproducirlo, en orden y sin saltarte ninguno. Un paso que se da por obvio es media hora perdida.
- Con qué lo probaste: navegador y versión, o la herramienta y sus opciones.
- La fecha y la hora aproximadas de las pruebas, con zona horaria, para poder cruzarlas con nuestros registros.
- Si al investigar te topaste con datos de una persona, dilo. Descríbelo, no lo adjuntes.
- Cómo prefieres que te contactemos y en qué horario.
- Si quieres reconocimiento público cuando esté corregido, y con qué nombre.
Escribe en español o en inglés, como te acomode. Respondemos en español.
Plazos, y qué pasa si se nos van
Un plazo que no se puede medir no es un compromiso. Estos se cuentan desde que recibimos tu aviso.
| Momento | Plazo | Qué hacemos |
|---|---|---|
| Acuse de recibo | 3 días hábiles | Te confirmamos que el aviso llegó y quién lo lleva dentro de la Fundación. |
| Evaluación | 10 días hábiles | Intentamos reproducirlo, clasificamos la gravedad y te decimos si lo consideramos vulnerabilidad y por qué. |
| Corrección de un fallo crítico o alto | 7 días corridos | Contamos desde que confirmamos el fallo. Si además hay riesgo para datos de personas, se corrige antes que cualquier otra tarea del sitio. |
| Corrección de un fallo medio o bajo | 90 días corridos | Con la fecha estimada por escrito desde la evaluación, no al final. |
| Estado del caso | Cada 15 días | Mientras siga abierto. Si un plazo se nos va a pasar, te lo decimos antes de que venza, no después. |
| Cierre | Al verificar la corrección | Te avisamos, te explicamos qué se cambió y, si lo pediste, publicamos tu reconocimiento. |
Ese procedimiento está escrito y lo aplicamos desde ya, aunque el deber de notificar de la Ley 21.719 sea plenamente exigible desde el 1 de diciembre de 2026. Los reflejos no se improvisan el día que hacen falta.
Te pedimos que no hagas público el fallo hasta que esté corregido, y que si el plazo se alarga hablemos antes de publicar. No te vamos a pedir silencio indefinido: si pasan 90 días desde tu aviso y no lo hemos corregido ni te hemos dado una razón, puedes publicarlo.
No emprendemos acciones legales contra quien investiga de buena fe
Lo escribimos aquí para que puedas apoyarte en ello, no como una cortesía.
Si respetas esta política, no vamos a iniciar ni a promover acciones legales ni denuncias en tu contra por la investigación, y si un tercero lo hiciera, dejaremos por escrito que actuaste dentro de lo que aquí autorizamos. Consideramos tu trabajo una contribución al cuidado de las personas que atendemos.
Este compromiso cubre lo que esta política permite. No es una autorización general ni puede cubrir conductas que la ley chilena persigue por sí sola, como acceder a datos de una persona y difundirlos o usarlos. Por eso la regla de detenerse manda sobre las demás.
Tampoco te vamos a pedir que firmes nada para reportar, ni un acuerdo de confidencialidad como condición para que te escuchemos.
Las condiciones, en cuatro líneas
- Te quedas dentro del alcance y no tocas nada de la lista de fuera.
- Paras en cuanto aparecen datos de una persona, no los conservas y nos lo dices.
- No degradas el servicio, no borras ni alteras nada, y no dejas puertas abiertas detrás de ti.
- Nos das un plazo razonable para corregir antes de contarlo, y no usas el hallazgo para pedir dinero. Un reporte condicionado a un pago no es un reporte.
Lo que hay puesto, en general y sin planos
Contamos qué existe, no cómo está configurado al detalle: lo segundo solo le ahorra trabajo a quien viene a hacer daño.
- Cabeceras estrictas y política de contenido con nonceLa política de seguridad de contenido parte de no permitir nada y va abriendo lo justo. Cada respuesta lleva su propio nonce, distinto del anterior, y en producción no admite código en línea ni evaluado. Se suman transporte estricto, prohibición de enmarcado, aislamiento de origen y dieciocho funciones del navegador apagadas de forma explícita.
- Toda entrada se valida en el servidorEl formulario se valida de nuevo al llegar, con esquema tipado, aunque venga de nuestra propia página. Que el envío salga de nuestro formulario es una suposición sobre el cliente, y el cliente no es nuestro. Un cuerpo demasiado largo se descarta antes de intentar interpretarlo.
- Antifalsificación en el formularioDoble envío firmado con marca de tiempo y vigencia corta, más comprobación del origen de la petición. Un sitio de terceros puede provocar un envío, pero no puede leer lo que necesita para completarlo.
- Limitación de tasaEl extremo del formulario limita los envíos por ventana de tiempo. Para contarlos no guardamos la dirección IP: se guarda un resumen criptográfico con una sal del servidor, que sirve para contar y no sirve para saber quién es.
- Secretos y dependencias, en cada cambioNinguna modificación llega a producción sin pasar por la verificación automática: rastreo de secretos sobre el historial completo, escáner propio, auditoría de dependencias que rechaza cualquier vulnerabilidad alta o crítica, y un inventario de componentes que se guarda con cada versión para poder responder «¿nos afecta?» mirando un archivo.
- Sin scripts de tercerosNo hay analítica, ni píxeles, ni mapas embebidos, ni fuentes remotas: las dos tipografías se sirven desde este mismo dominio. Nadie fuera de la Fundación sabe que visitaste esta web. En un centro de adicciones, la lista de visitantes ya es un dato de salud.
Nada de esto reemplaza tu aviso. Estas medidas están para que un fallo sea menos probable y para que, cuando ocurra, alcance a menos gente. Ninguna sustituye a alguien de fuera mirando con atención.
Los huecos, dichos por nosotros
Una política de seguridad que solo enumera lo que funciona es publicidad. Estos son los pendientes conocidos hoy.
Dirección de correo dedicada
El dominio todavía no tiene registros de correo. Cuando los tenga, publicamos aquí y en el archivo de seguridad una dirección específica para reportes, y este apartado deja de existir.
Clave pública para cifrar el reporte
Todavía no publicamos ninguna. Mientras no exista, no envíes por escrito nada que no puedas contar por teléfono.
Campo de caducidad en el archivo de seguridad
El archivo /.well-known/security.txt está publicado, pero le falta la fecha de caducidad que exige la norma. Algunas herramientas lo tratan por eso como no válido.
Programa de recompensas
No pagamos por los reportes. Somos una fundación sin fines de lucro y lo decimos antes de que inviertas tu tiempo. Lo que sí ofrecemos es respuesta, corrección y reconocimiento público si lo quieres.
Sistemas clínicos
La plataforma de gestión de participantes no existe todavía: no hay base de datos, ni cuentas de usuario, ni fichas en este sitio. Cuando exista, esta política se reescribe antes de que se abra.
Si algo de esta página no coincide con lo que ves al probar el sitio, eso también es un reporte válido. Una política que describe un sistema que no existe es un fallo de seguridad por sí sola.
Llamar al +56 9 4915 6211Archivo de referencia: www.fundacionlasmercedes.com/.well-known/security.txt