Política de divulgación coordinada de vulnerabilidades

DMS075125

Versión 1, 11/09/2026

1. Cómo notificarnos una vulnerabilidad

Atral Security, fabricante de los productos Daitem, anima a investigadores de seguridad, usuarios y socios a notificar las vulnerabilidades que afecten a nuestros productos.

El formulario web también permite una notificación anónima. En ese caso, no podremos enviarle un acuse de recibo ni informarle del avance.

2. Productos cubiertos

Esta política se aplica a todos los productos con elementos digitales comercializados por Atral Security bajo la marca Daitem, en particular:

• Los productos de hardware con firmware: centrales de alarma de intrusión, detectores, teclados, sirenas, sistemas de detección y alarma de incendio, interfonía;
• Las aplicaciones de software: Secure (aplicaciones de uso), Setup (aplicaciones de instalación), Twinload;
• Los servicios en la nube.

Gamas con soporte activo:

Los productos al final de su vida útil, cuyo periodo de soporte ha expirado, dejan de estar cubiertos por esta política. Atral Security comunica sus decisiones de fin de vida con un preaviso razonable.

3. Nuestros compromisos

Cuando nos notifica una vulnerabilidad, Atral Security se compromete a:

• Acusar recibo de su notificación en un plazo de 5 días hábiles y asignarle un identificador de seguimiento único (ATRL-AAAA-NNN);
• Evaluar su notificación, incluso si está incompleta: la información parcial es bienvenida;
• Informarle del avance como mínimo cada 30 días, o inmediatamente ante cualquier cambio significativo;
• Informarle de la fecha de publicación prevista antes de cualquier divulgación pública;
• No divulgar públicamente información sobre la vulnerabilidad mientras no haya una solución disponible (véase §4);
• Publicar un boletín de seguridad tras la corrección y mencionarle si así lo desea (véase §5).

El proceso interno de tratamiento se define en nuestro procedimiento de gestión de vulnerabilidades.

4. Periodo de embargo y divulgación

Atral Security se compromete a no divulgar públicamente información sobre una vulnerabilidad antes de que exista una solución disponible. Este periodo de no divulgación se denomina «periodo de embargo».

En caso de riesgo inmediato y grave para los usuarios, Atral Security se reserva el derecho de publicar una información de seguridad parcial antes de que esté disponible una corrección completa, indicando la fecha prevista de divulgación completa.

5. Boletines de seguridad y reconocimiento

Atral Security publica un boletín de seguridad para cada vulnerabilidad corregida, en esta página.

Hasta la fecha no se ha publicado ningún boletín de seguridad.

Cada boletín contiene:

• La descripción de la vulnerabilidad, y los productos y versiones afectados;
• El nivel de gravedad (puntuación CVSS);
• La solución disponible (actualización, medida provisional) y las instrucciones de instalación;
• Las fechas clave: recepción de la notificación, disponibilidad de la corrección, publicación.

Reconocimiento de los notificantes: con su consentimiento, su nombre o seudónimo se mencionará en el boletín correspondiente. También puede optar por permanecer en el anonimato.

6. Acerca de esta política

Esta política se publica en aplicación del Reglamento (UE) 2024/2847 (Cyber Resilience Act). Cualquier modificación sustancial se anuncia en esta página. Esta política es una traducción de la versión francesa, única versión auténtica.

Información útil para su notificación

Para que podamos tratar su notificación con rapidez, la siguiente información es útil. Notifique aunque no disponga de todas las respuestas.